Ryuk રેન્સમવેર કેવી રીતે કામ કરે છે, જે વ્યવસાયો પર હુમલો કરે છે

Ryuk છેલ્લા કેટલાક વર્ષોમાં સૌથી કુખ્યાત રેન્સમવેર વેરિઅન્ટ્સમાંનું એક છે. 2018 ના ઉનાળામાં તે પહેલીવાર દેખાયું ત્યારથી, તે એકઠા થઈ ગયું છે પીડિતોની પ્રભાવશાળી યાદી, ખાસ કરીને વ્યવસાયિક વાતાવરણમાં, જે તેના હુમલાઓનું મુખ્ય લક્ષ્ય છે.

1. સામાન્ય માહિતી

આ દસ્તાવેજમાં Ryuk રેન્સમવેરના એક પ્રકારનું વિશ્લેષણ તેમજ સિસ્ટમમાં માલવેર લોડ કરવા માટે જવાબદાર લોડરનો સમાવેશ થાય છે.

ર્યુક રેન્સમવેર પહેલી વાર 2018 ના ઉનાળામાં દેખાયો હતો. ર્યુક અને અન્ય રેન્સમવેર વચ્ચેનો એક તફાવત એ છે કે તેનો હેતુ કોર્પોરેટ વાતાવરણ પર હુમલો કરવાનો છે.

2019 ના મધ્યમાં, સાયબર ગુનેગાર જૂથોએ આ રેન્સમવેરનો ઉપયોગ કરીને મોટી સંખ્યામાં સ્પેનિશ કંપનીઓ પર હુમલો કર્યો.

આકૃતિ 1: ર્યુક રેન્સમવેર હુમલા અંગે એલ કોન્ફિડેન્શિયલમાંથી અંશો [1]

આકૃતિ 2: ર્યુક રેન્સમવેરનો ઉપયોગ કરીને કરવામાં આવેલા હુમલા વિશે એલ પેઇસમાંથી અંશો [2]
આ વર્ષે, Ryuk એ વિવિધ દેશોમાં મોટી સંખ્યામાં કંપનીઓ પર હુમલો કર્યો છે. નીચે આપેલા આંકડાઓ પરથી તમે જોઈ શકો છો કે, જર્મની, ચીન, અલ્જેરિયા અને ભારત સૌથી વધુ પ્રભાવિત થયા હતા.

સાયબર હુમલાઓની સંખ્યાની સરખામણી કરીએ તો, આપણે જોઈ શકીએ છીએ કે Ryuk એ લાખો વપરાશકર્તાઓને અસર કરી અને મોટા પ્રમાણમાં ડેટા સાથે ચેડા કર્યા, જેના પરિણામે ગંભીર આર્થિક નુકસાન થયું.

આકૃતિ 3: ર્યુકની વૈશ્વિક પ્રવૃત્તિનું ચિત્ર.

આકૃતિ 4: ર્યુકથી સૌથી વધુ પ્રભાવિત 16 દેશો

આકૃતિ 5: Ryuk રેન્સમવેર દ્વારા હુમલો કરાયેલા વપરાશકર્તાઓની સંખ્યા (લાખોમાં)

આવા ધમકીઓ માટે સામાન્ય રીતે, એન્ક્રિપ્શન પૂર્ણ થયા પછી, રેન્સમવેર પીડિતને ખંડણી નોંધ પ્રદર્શિત કરે છે, જે એન્ક્રિપ્ટેડ ફાઇલોની ઍક્સેસ પુનઃસ્થાપિત કરવા માટે બિટકોઇનમાં ચોક્કસ સરનામાં પર ચૂકવવી આવશ્યક છે.

આ માલવેર પહેલી વાર દેખાયો ત્યારથી તે બદલાઈ ગયો છે.
આ પેપરમાં વિશ્લેષણ કરાયેલ આ ધમકીનો પ્રકાર જાન્યુઆરી 2020 માં થયેલા હુમલાના પ્રયાસ દરમિયાન મળી આવ્યો હતો.

તેની જટિલતાને કારણે, આ માલવેર ઘણીવાર સંગઠિત સાયબર ક્રાઇમ જૂથોને આભારી છે, જેને APT જૂથો તરીકે પણ ઓળખવામાં આવે છે.

ર્યુકના કેટલાક કોડ અન્ય જાણીતા રેન્સમવેર પ્રોગ્રામ, હર્મેસના કોડ અને માળખા સાથે નોંધપાત્ર સામ્યતા ધરાવે છે, જેની સાથે તે અનેક કાર્યો શેર કરે છે. આ જ કારણ છે કે ર્યુક શરૂઆતમાં ઉત્તર કોરિયન જૂથ લાઝારસ સાથે જોડાયેલો હતો, જે તે સમયે હર્મેસ રેન્સમવેર પાછળ હોવાની શંકા હતી.

ક્રાઉડસ્ટ્રાઇકની ફાલ્કન એક્સ સર્વિસે પાછળથી નોંધ્યું કે ર્યુક ખરેખર WIZARD SPIDER ગ્રુપ દ્વારા બનાવવામાં આવ્યું હતું [4].

આ ધારણાને સમર્થન આપવા માટે ઘણા પુરાવા છે. સૌપ્રથમ, આ રેન્સમવેરની જાહેરાત exploit.in નામની વેબસાઇટ પર કરવામાં આવી હતી, જે એક જાણીતું રશિયન માલવેર માર્કેટપ્લેસ છે જે અગાઉ ઘણા રશિયન APT જૂથો સાથે સંકળાયેલું હતું.
આ હકીકત એ સિદ્ધાંતને નકારી કાઢે છે કે ર્યુકને APT જૂથ લાઝારસ દ્વારા વિકસાવવામાં આવ્યો હોઈ શકે છે, કારણ કે તે જૂથની કાર્યશૈલી સાથે બંધબેસતો નથી.

વધુમાં, Ryuk ને એક રેન્સમવેર તરીકે જાહેરાત કરવામાં આવી હતી જે રશિયન, યુક્રેનિયન અથવા બેલારુસિયન સિસ્ટમ પર કામ કરશે નહીં. આ વર્તણૂક Ryuk ના કેટલાક સંસ્કરણોમાં જોવા મળતા એક કાર્યને કારણે છે જે રેન્સમવેર ચલાવતી સિસ્ટમની ભાષા તપાસે છે અને જો સિસ્ટમ રશિયન, યુક્રેનિયન અથવા બેલારુસિયન ચાલી રહી હોય તો તેને અટકાવે છે. અંતે, WIZARD SPIDER જૂથ દ્વારા હેક કરાયેલ મશીનના નિષ્ણાત વિશ્લેષણમાં ઘણી "કલાકૃતિઓ" જાહેર થઈ હતી જેનો ઉપયોગ હર્મેસ રેન્સમવેરના પ્રકાર તરીકે Ryuk ના વિકાસમાં કરવામાં આવ્યો હતો.

બીજી બાજુ, નિષ્ણાતો ગેબ્રિએલા નિકોલાઓ અને લુસિયાનો માર્ટિન્સે સૂચવ્યું હતું કે રેન્સમવેર APT જૂથ ક્રિપ્ટોટેક [5] દ્વારા વિકસાવવામાં આવ્યું હોઈ શકે છે.
આ વાત એ હકીકત પરથી બહાર આવે છે કે ર્યુક દેખાયાના ઘણા મહિના પહેલા, આ જૂથે તે જ સાઇટના ફોરમ પર પોસ્ટ કર્યું હતું કે તેઓએ હર્મેસ રેન્સમવેરનું નવું સંસ્કરણ વિકસાવ્યું છે.

ઘણા ફોરમ યુઝર્સે પ્રશ્ન કર્યો કે શું ક્રિપ્ટોટેકે ખરેખર ર્યુક બનાવ્યું હતું. ત્યારબાદ જૂથે પોતાનો બચાવ કર્યો અને દાવો કર્યો કે તેમની પાસે એવા પુરાવા છે જે સાબિત કરે છે કે તેણે 100% રેન્સમવેર વિકસાવ્યું છે.

2. લાક્ષણિકતાઓ

આપણે બુટલોડરથી શરૂઆત કરીએ છીએ, જેનું કામ તે કઈ સિસ્ટમ પર છે તે ઓળખવાનું છે જેથી Ryuk રેન્સમવેરનું "સાચું" વર્ઝન ચલાવી શકાય.
બુટલોડર હેશ નીચે મુજબ છે:

MD5 A73130B0E379A989CBA3D695A157A495
SHA256 EF231EE1A2481B7E627921468E79BB4369CCFAEB19A575748DD2B664ABC4F469

આ ડાઉનલોડરની એક ખાસિયત એ છે કે તેમાં કોઈ મેટાડેટા નથી, એટલે કે આ માલવેરના નિર્માતાઓએ તેમાં કોઈ માહિતી શામેલ કરી નથી.

કેટલીકવાર તેઓ ખોટો ડેટા શામેલ કરે છે જેથી વપરાશકર્તાને એવું લાગે કે તેઓ કાયદેસર એપ્લિકેશન લોન્ચ કરી રહ્યા છે. જોકે, જેમ આપણે પછી જોઈશું, જો ચેપને વપરાશકર્તાની ક્રિયાપ્રતિક્રિયાની જરૂર ન હોય (જેમ કે આ રેન્સમવેરના કિસ્સામાં છે), તો હુમલાખોરો મેટાડેટાનો ઉપયોગ કરવાનું જરૂરી માનતા નથી.

આકૃતિ 6: નમૂના મેટાડેટા

આ નમૂનાને 32-બીટ ફોર્મેટમાં સંકલિત કરવામાં આવ્યો હતો જેથી તેને 32-બીટ અને 64-બીટ બંને સિસ્ટમો પર ચલાવી શકાય.

3. પેનિટ્રેશન વેક્ટર

Ryuk ડાઉનલોડ અને ચલાવતો નમૂનો રિમોટ કનેક્શન દ્વારા અમારી સિસ્ટમમાં પ્રવેશ્યો, અને ઓળખપત્રો પ્રારંભિક RDP હુમલા દ્વારા મેળવવામાં આવ્યા.

આકૃતિ 7: એટેક રજિસ્ટ્રી

હુમલાખોર રિમોટલી સિસ્ટમમાં લોગ ઇન કરવામાં સફળ રહ્યો. પછી, તેમણે અમારા નમૂના ધરાવતી એક્ઝિક્યુટેબલ ફાઇલ બનાવી.
આ એક્ઝિક્યુટેબલ ફાઇલ ચલાવવા પહેલાં એન્ટીવાયરસ સોલ્યુશન દ્વારા બ્લોક કરવામાં આવી હતી.

આકૃતિ 8: નમૂના અવરોધિત કરવું

આકૃતિ 9: નમૂના અવરોધિત કરવું

એકવાર દૂષિત ફાઇલ લોક થઈ ગયા પછી, હુમલાખોરે એક્ઝિક્યુટેબલ ફાઇલનું એન્ક્રિપ્ટેડ વર્ઝન ડાઉનલોડ કરવાનો પ્રયાસ કર્યો, જે પણ લોક થઈ ગયું હતું.

આકૃતિ 10: હુમલાખોરે ચલાવવાનો પ્રયાસ કરેલા નમૂનાઓનો સમૂહ

અંતે, તેણે એન્ક્રિપ્ટેડ કન્સોલ દ્વારા બીજી દૂષિત ફાઇલ ડાઉનલોડ કરવાનો પ્રયાસ કર્યો.
પાવરશેલનો ઉપયોગ એન્ટીવાયરસ સુરક્ષાને બાયપાસ કરવા માટે કરવામાં આવ્યો હતો. પરંતુ તે પણ અવરોધિત હતું.

આકૃતિ ૧૨: દૂષિત સામગ્રી સાથે પાવરશેલ અવરોધિત


આકૃતિ ૧૨: દૂષિત સામગ્રી સાથે પાવરશેલ અવરોધિત

4. લોડર

જ્યારે તે ચાલે છે, ત્યારે તે ફોલ્ડરમાં એક ReadMe ફાઇલ લખે છે. % temp%, જે Ryuk ની લાક્ષણિકતા છે. આ ફાઇલ પ્રોટોનમેલ ડોમેનમાં એક ઇમેઇલ સરનામું ધરાવતી ખંડણી નોંધ છે, જે આ માલવેર પરિવારમાં ખૂબ સામાન્ય છે: msifelabem1981@protonmail.com પર ઇમેઇલ મોકલો.

આકૃતિ ૧૩: ખંડણીની માંગ

જ્યારે ડાઉનલોડર ચાલુ હોય, ત્યારે તમે જોશો કે તે રેન્ડમ નામો સાથે ઘણી એક્ઝિક્યુટેબલ ફાઇલો લોન્ચ કરે છે. તે એક છુપાયેલા ફોલ્ડરમાં સંગ્રહિત થાય છે. જાહેર, પરંતુ જો વિકલ્પ ઓપરેટિંગ સિસ્ટમમાં સક્રિય ન હોય તો છુપાયેલી ફાઇલો અને ફોલ્ડર્સ બતાવો, તે છુપાયેલા રહેશે. વધુમાં, આ ફાઇલો 64-બીટ છે, જે પેરેન્ટ ફાઇલથી વિપરીત છે, જે 32-બીટ છે.

આકૃતિ ૧૪: નમૂના દ્વારા લોન્ચ કરાયેલ એક્ઝિક્યુટેબલ ફાઇલો

જેમ તમે ઉપરની છબીમાં જોઈ શકો છો, Ryuk icacls.exe ચલાવે છે જેનો ઉપયોગ બધા ACL (એક્સેસ કંટ્રોલ લિસ્ટ) ને સુધારવા માટે થશે, આમ ઍક્સેસ અને ફ્લેગ ફેરફારો સુનિશ્ચિત થશે.

તે બધા વપરાશકર્તાઓ હેઠળ ઉપકરણ પરની બધી ફાઇલો (/T) માં સંપૂર્ણ ઍક્સેસ મેળવે છે, ભૂલો (/C) ને ધ્યાનમાં લીધા વિના અને કોઈપણ સંદેશા (/Q) પ્રદર્શિત કર્યા વિના.

આકૃતિ 15: નમૂના દ્વારા લોન્ચ કરાયેલ icacls.exe ના એક્ઝેક્યુશન પરિમાણો

એ નોંધવું મહત્વપૂર્ણ છે કે Ryuk વિન્ડોઝનું કયું વર્ઝન ચાલી રહ્યું છે તે તપાસે છે. આ કરવા માટે, તે
નો ઉપયોગ કરીને સંસ્કરણ તપાસ કરે છે ગેટવર્ઝનએક્સડબલ્યુ, જેમાં તે ધ્વજનું મૂલ્ય તપાસે છે lpVersionમાહિતી, જે દર્શાવે છે કે વિન્ડોઝનું વર્તમાન વર્ઝન તેના કરતા પછીનું છે કે નહીં વિન્ડોઝ XP.

તમે Windows XP કરતાં પછીનું વર્ઝન ચલાવી રહ્યા છો કે નહીં તેના આધારે, બુટલોડર સ્થાનિક વપરાશકર્તા ફોલ્ડરમાં લખશે - આ કિસ્સામાં, ફોલ્ડર %જાહેર%.

આકૃતિ 17: ઓપરેટિંગ સિસ્ટમ વર્ઝન તપાસી રહ્યું છે

જે ફાઇલ લખવામાં આવી રહી છે તેનું નામ Ryuk છે. તે પછી તેને ચલાવે છે, પેરામીટર તરીકે પોતાનું સરનામું પાસ કરે છે.

આકૃતિ 18: શેલએક્સેક્યુટ દ્વારા ર્યુકનો અમલ

Ryuk સૌથી પહેલા ઇનપુટ પેરામીટર્સ મેળવે છે. આ વખતે, બે ઇનપુટ પેરામીટર્સ છે (એક્ઝિક્યુટેબલ પોતે અને ડ્રોપર એડ્રેસ), જેનો ઉપયોગ તેના પોતાના ટ્રેસ દૂર કરવા માટે થાય છે.

આકૃતિ 19: પ્રક્રિયા બનાવવી

તમે એ પણ જોઈ શકો છો કે એકવાર તે તેના એક્ઝિક્યુટેબલ્સ ચલાવે છે, તે પોતાને કાઢી નાખે છે, આમ તે ફોલ્ડરમાં તેની હાજરીનો કોઈ નિશાન છોડતો નથી જ્યાં તે એક્ઝિક્યુટ કરવામાં આવ્યો હતો.

આકૃતિ 20: ફાઇલ કાઢી નાખવી

૫. આરયુયુકે

૫.૧ હાજરી
Ryuk, અન્ય માલવેરની જેમ, શક્ય તેટલા લાંબા સમય સુધી સિસ્ટમમાં રહેવાનો પ્રયાસ કરે છે. ઉપર બતાવ્યા પ્રમાણે, આ પ્રાપ્ત કરવાનો એક રસ્તો એ છે કે ચોરીછૂપીથી એક્ઝિક્યુટેબલ ફાઇલો બનાવીને ચલાવવી. આ માટેની સૌથી સામાન્ય પદ્ધતિ રજિસ્ટ્રી કીમાં ફેરફાર કરવાની છે. કરંટ વર્ઝનરન.
આ કિસ્સામાં, તમે જોઈ શકો છો કે આ હેતુ માટે એક્ઝિક્યુટ થનારી પ્રથમ ફાઇલ છે VWjRF.exe
(ફાઇલ નામ રેન્ડમલી જનરેટ થયેલ છે) લોન્ચ થાય છે સેમીડી.એક્સી.

આકૃતિ 21: VWjRF.exe ફાઇલનો અમલ

પછી આદેશ દાખલ થાય છે રન કરો "નામ સાથેsvchos". તેથી, જો તમે કોઈપણ સમયે તમારી રજિસ્ટ્રી કી તપાસો છો, તો તમે આ ફેરફાર સરળતાથી ચૂકી શકો છો, કારણ કે આ નામ svchost જેવું જ છે. Ryuk આ કીનો ઉપયોગ સિસ્ટમમાં તેની હાજરી સુનિશ્ચિત કરવા માટે કરે છે. જો સિસ્ટમ હજુ સુધી ચેપગ્રસ્ત ન થઈ હોય, તો એક્ઝિક્યુટેબલ ફાઇલ રીબૂટ કરતી વખતે ફરીથી પ્રયાસ કરશે.

આકૃતિ 22: નમૂના રજિસ્ટ્રી કીમાં હાજરી સુનિશ્ચિત કરે છે

આપણે એ પણ જોઈ શકીએ છીએ કે આ એક્ઝેક્યુટેબલ બે સેવાઓ બંધ કરે છે:
"ઑડિઓએન્ડપોઇન્ટબિલ્ડર", જે, તેના નામ પ્રમાણે, સિસ્ટમ ઑડિઓને અનુરૂપ છે,

આકૃતિ 23: નમૂના સિસ્ટમ ઑડિઓ સેવા બંધ કરે છે

и સેમસ, જે એકાઉન્ટ મેનેજમેન્ટ સેવા છે. આ બે સેવાઓ બંધ કરવી એ Ryuk ની લાક્ષણિકતા છે. આ કિસ્સામાં, જો સિસ્ટમ SIEM સિસ્ટમ સાથે જોડાયેલ હોય, તો રેન્સમવેર મોકલવાનું બંધ કરવાનો પ્રયાસ કરે છે એસ.આઇ.ઇ.એમ. કોઈ ચેતવણીઓ જારી કરવામાં આવતી નથી. આ તેના આગામી પગલાંને સુરક્ષિત કરે છે, કારણ કે Ryuk ને અમલમાં મૂક્યા પછી કેટલીક SAM સેવાઓ યોગ્ય રીતે શરૂ થઈ શકશે નહીં.

આકૃતિ 24: સેમ્પલ સેમસ સેવા બંધ કરે છે

૫.૨ વિશેષાધિકારો

સામાન્ય રીતે કહીએ તો, Ryuk નેટવર્કની અંદર બાજુની બાજુએ ફરવાથી શરૂ થાય છે અથવા તે બીજા માલવેર દ્વારા લોન્ચ થાય છે જેમ કે એમોટેટ અથવા ટ્રિકબોટ, જે, વિશેષાધિકાર વધારવાની સ્થિતિમાં, આ ઉન્નત અધિકારોને રેન્સમવેરમાં સ્થાનાંતરિત કરે છે.

અમલીકરણ પ્રક્રિયાના પ્રસ્તાવના રૂપે, આપણે તેને પ્રક્રિયા કરતા જોઈએ છીએ પોતાનો ઢોંગ કરો, જેનો અર્થ એ છે કે ઍક્સેસ ટોકનની સુરક્ષા સામગ્રી સ્ટ્રીમમાં પસાર થશે, જ્યાં તે તરત જ પ્રાપ્ત થશે ગેટકરન્ટથ્રેડ.

આકૃતિ 25: સ્વયંનો ઢોંગ કરવો

પછી આપણે જોઈએ છીએ કે તે ફ્લો સાથે એક્સેસ ટોકન જોડશે. આપણે એ પણ જોઈએ છીએ કે એક ફ્લેગ છે ઇચ્છિત ઍક્સેસ, જેનો ઉપયોગ થ્રેડ પાસે રહેલી ઍક્સેસને નિયંત્રિત કરવા માટે થઈ શકે છે. આ કિસ્સામાં, edx ને જે મૂલ્ય પ્રાપ્ત થશે તે હોવું જોઈએ ટોકન_બધા_એસીએસ અથવા અન્યથા - ટોકન_લેખન.

ચોખા. 26: ફ્લો ટોકન બનાવવું

પછી તે ઉપયોગ કરશે સેડેબગપ્રિવિલેજ અને થ્રેડ પર ડીબગ પરવાનગીઓ મેળવવા માટે કૉલ કરશે, જેના પરિણામે, સ્પષ્ટ કરીને બધી_પ્રક્રિયા_પ્રવેશ, તે કોઈપણ જરૂરી પ્રક્રિયાને ઍક્સેસ કરી શકશે. હવે, રેન્સમવેર પાસે પહેલેથી જ તૈયાર સ્ટ્રીમ છે તે જોતાં, ફક્ત અંતિમ તબક્કામાં આગળ વધવાનું બાકી છે.

આકૃતિ 27: SeDebugPrivilege કોલ અને વિશેષાધિકાર એસ્કેલેશન ફંક્શન

એક તરફ, આપણી પાસે LookupPrivilegeValueW છે, જે આપણને જે વિશેષાધિકારો વધારવા માંગીએ છીએ તેના વિશે જરૂરી માહિતી પૂરી પાડે છે.

આકૃતિ 28: એસ્કેલેશન માટે વિશેષાધિકારો વિશે માહિતીની વિનંતી કરવી

બીજી બાજુ, આપણી પાસે ટોકન વિશેષાધિકારો સમાયોજિત કરો, જે આપણને આપણા સ્ટ્રીમના જરૂરી અધિકારો મેળવવાની મંજૂરી આપે છે. આ કિસ્સામાં, સૌથી મહત્વની બાબત એ છે કે ન્યૂસ્ટેટ, જેનો ધ્વજ વિશેષાધિકારો આપશે.

આકૃતિ 29: ટોકન પરવાનગીઓ સેટ કરવી

૫.૩ અમલીકરણ

આ વિભાગમાં, અમે બતાવીશું કે નમૂના આ અહેવાલમાં અગાઉ ઉલ્લેખિત અમલીકરણ પ્રક્રિયા કેવી રીતે કરે છે.

અમલીકરણ પ્રક્રિયાનો મુખ્ય ધ્યેય, તેમજ વૃદ્ધિ, ઍક્સેસ મેળવવાનો છે શેડો કોપીઆ કરવા માટે, તેને સ્થાનિક વપરાશકર્તા કરતા વધારે વિશેષાધિકારો ધરાવતા થ્રેડમાં ચલાવવાની જરૂર છે. એકવાર તે આ ઉચ્ચ વિશેષાધિકારો મેળવે છે, તે નકલો કાઢી નાખશે અને અન્ય પ્રક્રિયાઓમાં ફેરફાર કરશે જેથી ઓપરેટિંગ સિસ્ટમમાં પહેલાના પુનઃસ્થાપન બિંદુ પર પાછા ફરવાનું અશક્ય બને.

આ પ્રકારના માલવેરની જેમ, તે ઈન્જેક્શન કરવા માટે પેલોડનો ઉપયોગ કરે છે. CreateToolHelp32સ્નેપશોટ, તેથી તે હાલમાં ચાલી રહેલી પ્રક્રિયાઓનો સ્નેપશોટ લે છે અને તેનો ઉપયોગ કરીને તે પ્રક્રિયાઓને ઍક્સેસ કરવાનો પ્રયાસ કરે છે ઓપનપ્રોસેસએકવાર તે પ્રક્રિયામાં પ્રવેશ મેળવી લે છે, તે પ્રક્રિયા પરિમાણો મેળવવા માટે તેની માહિતી સાથે એક ટોકન પણ ખોલે છે.

આકૃતિ 30: કમ્પ્યુટરથી પ્રક્રિયાઓ મેળવવી

આપણે જોઈ શકીએ છીએ કે તે CreateToolhelp32Snapshot નો ઉપયોગ કરીને 140002D9C સબરૂટિનમાં ચાલી રહેલી પ્રક્રિયાઓની સૂચિને ગતિશીલ રીતે કેવી રીતે પુનઃપ્રાપ્ત કરે છે. એકવાર તે તેમને પુનઃપ્રાપ્ત કરી લે છે, તે સૂચિમાં પુનરાવર્તન કરે છે, OpenProcess નો ઉપયોગ કરીને દરેક પ્રક્રિયાને એક પછી એક ખોલવાનો પ્રયાસ કરે છે જ્યાં સુધી તે સફળ ન થાય. આ કિસ્સામાં, તે ખોલવામાં સક્ષમ પ્રથમ પ્રક્રિયા હતી ટાસ્કહોસ્ટ.એક્સી.

આકૃતિ 31: પ્રક્રિયા મેળવવા માટે પ્રક્રિયાનું ગતિશીલ અમલીકરણ

આપણે જોઈ શકીએ છીએ કે તે પછીથી પ્રક્રિયા ટોકન માહિતી વાંચે છે, તેથી તે કૉલ કરે છે ઓપનપ્રોસેસટોકન "પરિમાણ સાથે"20008"

આકૃતિ 32: વાંચન પ્રક્રિયા ટોકન માહિતી

તે એ પણ તપાસે છે કે જે પ્રક્રિયામાં તેનો અમલ કરવામાં આવશે તે નથી csrss.exe, એક્સપ્લોરર.એક્સી, lsaas.એક્સી અથવા તેને અધિકારોનો સમૂહ છે NT ઓથોરિટી.

આકૃતિ 33: બાકાત પ્રક્રિયાઓ

આપણે ગતિશીલ રીતે જોઈ શકીએ છીએ કે તે પ્રક્રિયા ટોકન માહિતીનો ઉપયોગ કરીને પ્રથમ તપાસ કેવી રીતે કરે છે 140002D9C જે ખાતાના અધિકારોનો ઉપયોગ પ્રક્રિયા ચલાવવા માટે થાય છે તે ખાતું છે કે કેમ તે શોધવા માટે NT ઓથોરિટી.

ચોખા. ૩૪: NT ઓથોરિટી ચેક

અને પછીથી, પ્રક્રિયાની બહાર, તે તપાસે છે કે તે નથી csrss.exe, એક્સપ્લોરર.exe અથવા lsaas.exe.

ચોખા. ૩૪: NT ઓથોરિટી ચેક

એકવાર તે પ્રક્રિયાઓનો સ્નેપશોટ લઈ લે, પ્રક્રિયાઓ ખોલી નાખે, અને ખાતરી કરે કે તેમાંથી કોઈ પણ બાકાત નથી, તે મેમરીમાં ઇન્જેક્ટ કરવા માટે પ્રક્રિયાઓ લખવા માટે તૈયાર છે.

આ કરવા માટે, તે પહેલા મેમરીમાં એક વિસ્તાર અનામત રાખે છે (વર્ચ્યુઅલએલોકએક્સ), તેમાં લખે છે (લખવાની પ્રક્રિયા મેમરી) અને એક સ્ટ્રીમ બનાવે છે (રીમોટથ્રેડ બનાવો). આ કાર્યો સાથે કામ કરવા માટે, તે પસંદ કરેલી પ્રક્રિયાઓના PID નો ઉપયોગ કરે છે, જે તેણે અગાઉ ઉપયોગ કરીને મેળવ્યા હતા CreateToolhelp32સ્નેપશોટ.

આકૃતિ 36: એમ્બેડ કોડ

અહીં આપણે ગતિશીલ રીતે અવલોકન કરી શકીએ છીએ કે તે ફંક્શનને કૉલ કરવા માટે PID પ્રક્રિયાનો ઉપયોગ કેવી રીતે કરે છે. વર્ચ્યુઅલએલોકએક્સ.

આકૃતિ 37: VirtualAllocEx ને કૉલ કરવું

૫.૪ એન્ક્રિપ્શન
આ વિભાગમાં, આપણે આ નમૂનાના એન્ક્રિપ્શન ભાગ પર નજર નાખીશું. નીચેની આકૃતિમાં, તમે "" નામના બે સબરૂટિન જોઈ શકો છો.લોડલાઇબ્રેરી_એન્કોડસ્ટ્રિંગ"અને"એન્કોડ_ફંક", જે એન્ક્રિપ્શન પ્રક્રિયા કરવા માટે જવાબદાર છે.

આકૃતિ 38: એન્ક્રિપ્શન પ્રક્રિયાઓ

શરૂઆતમાં આપણે જોઈ શકીએ છીએ કે તે કેવી રીતે એક સ્ટ્રિંગ લોડ કરે છે જેનો ઉપયોગ પછીથી જરૂરી દરેક વસ્તુને ડીઓફસ્કેટ કરવા માટે થશે: આયાત, DLL, આદેશો, ફાઇલો અને CSP.

આકૃતિ 39: ડીઓબ્ફસ્કેશન ચેઇન

નીચેનો આકૃતિ R4 રજિસ્ટરમાં ડિઓફસ્કેટ થતી પહેલી આયાત બતાવે છે, લોડલીબાયરીઆનો ઉપયોગ પછીથી જરૂરી DLL લોડ કરવા માટે થશે. આપણે રજિસ્ટર R12 માં બીજી સ્ટ્રિંગ પણ જોઈ શકીએ છીએ, જેનો ઉપયોગ ડીઓબફસ્કેશન કરવા માટે પહેલાની સ્ટ્રિંગ સાથે જોડાણમાં થાય છે.

આકૃતિ 40: ગતિશીલ ડીઓબ્ફસ્કેશન

તે બેકઅપ્સ, રીસ્ટોર પોઈન્ટ્સ અને સેફ બૂટ મોડ્સને અક્ષમ કરવા માટે પછીથી એક્ઝિક્યુટ કરવામાં આવનારા આદેશોને લોડ કરવાનું ચાલુ રાખે છે.

આકૃતિ 41: આદેશો લોડ કરી રહ્યા છીએ

પછી તે એક સ્થાન લોડ કરે છે જ્યાં તે 3 ફાઇલો છોડશે: વિન્ડોઝ.બેટ, રન.એસસીટી и સ્ટાર્ટ.બેટ.

આકૃતિ 42: ફાઇલ સ્થાનો

આ ત્રણ ફાઇલોનો ઉપયોગ દરેક સ્થાનના વિશેષાધિકારો તપાસવા માટે થાય છે. જો જરૂરી વિશેષાધિકારો ઉપલબ્ધ ન હોય, તો Ryuk અમલ અટકાવે છે.

તે ત્રણ ફાઇલોને અનુરૂપ લાઇનો લોડ કરવાનું ચાલુ રાખે છે. પહેલી, DECRYPT_INFORMATION.html, ફાઇલો પુનઃપ્રાપ્ત કરવા માટે જરૂરી માહિતી ધરાવે છે. બીજું, જાહેર, RSA પબ્લિક કી ધરાવે છે.

આકૃતિ 43: DECRYPT INFORMATION.html લાઇન

ત્રીજું, અનન્ય_આઈડી_દૂર_નહીં_કરો, માં એન્ક્રિપ્ટેડ કી છે જેનો ઉપયોગ આગામી રૂટિનમાં એન્ક્રિપ્શન કરવા માટે કરવામાં આવશે.

આકૃતિ 44: અનન્ય ID રેખા દૂર કરશો નહીં

અંતે, તે જરૂરી આયાતો અને CSP () સાથે જરૂરી લાઇબ્રેરીઓ લોડ કરે છે.માઈક્રોસોફ્ટ એન્હાન્સ્ડ RSA и AES ક્રિપ્ટોગ્રાફિક પ્રદાતા).

આકૃતિ 45: લાઇબ્રેરીઓ લોડ કરી રહ્યું છે

એકવાર બધી ડિઓબ્ફસ્કેશન પૂર્ણ થઈ જાય, પછી તે એન્ક્રિપ્શન માટે જરૂરી ક્રિયાઓ કરવા માટે આગળ વધે છે: બધી લોજિકલ ડ્રાઇવ્સની ગણતરી કરવી, અગાઉના સબરૂટિનમાં લોડ કરેલી વસ્તુને એક્ઝિક્યુટ કરવી, સિસ્ટમમાં તેની હાજરીને મજબૂત બનાવવી, RyukReadMe.html ફાઇલ છોડી દેવી, એન્ક્રિપ્શન, બધી નેટવર્ક ડ્રાઇવ્સની ગણતરી કરવી, શોધાયેલ ઉપકરણો પર સ્વિચ કરવું અને તેમને એન્ક્રિપ્ટ કરવું.
તે બધું લોડિંગથી શરૂ થાય છે "સેમીડી.એક્સી" અને જાહેર RSA કીના રેકોર્ડ્સ.

આકૃતિ 46: એન્ક્રિપ્શન માટે તૈયારી કરી રહ્યા છીએ

પછી તે બધી લોજિકલ ડ્રાઈવોનો ઉપયોગ કરીને મેળવે છે ગેટલોજિકલડ્રાઇવ્સ અને બધા બેકઅપ્સ, રીસ્ટોર પોઈન્ટ્સ અને સેફ બુટ મોડ્સને અક્ષમ કરે છે.

આકૃતિ 47: પુનઃપ્રાપ્તિ સાધનોને નિષ્ક્રિય કરવા

આ પછી, તે સિસ્ટમમાં તેની હાજરીને મજબૂત બનાવે છે, જેમ આપણે ઉપર જોયું, અને પ્રથમ ફાઇલ લખે છે ર્યુકરીડમી.એચટીએમએલ в ટેમ્પ.

આકૃતિ 48: ખંડણી નોટિસ પ્રકાશિત કરવી

નીચેની છબીમાં તમે જોઈ શકો છો કે તે કેવી રીતે ફાઇલ બનાવે છે, સામગ્રી લોડ કરે છે અને તેને લખે છે:

આકૃતિ 49: ફાઇલ સામગ્રી લોડ કરવી અને લખવી

બધા ઉપકરણો પર સમાન ક્રિયાઓ કરવા માટે, તે ઉપયોગ કરે છે
"icacls.exe", જેમ આપણે ઉપર બતાવ્યું છે.

આકૃતિ ૫૦: icalcls.exe નો ઉપયોગ

અંતે, તે *.exe, *.dll, સિસ્ટમ ફાઇલો અને એન્ક્રિપ્ટેડ વ્હાઇટલિસ્ટમાં ઉલ્લેખિત અન્ય સ્થાનોને બાદ કરતાં ફાઇલોને એન્ક્રિપ્ટ કરવાનું શરૂ કરે છે. આ કરવા માટે, તે આયાતનો ઉપયોગ કરે છે: ક્રિપ્ટએક્વાયરકોન્ટેક્ષડબલ્યુ (જ્યાં AES અને RSA નો ઉપયોગ સૂચવવામાં આવ્યો છે), ક્રિપ્ટડેરિવકી, ક્રિપ્ટજેનકી, ક્રિપ્ટડેસ્ટ્રોયકી વગેરે. WNetEnumResourceW નો ઉપયોગ કરીને શોધાયેલા નેટવર્ક ઉપકરણો સુધી તેની ક્રિયાને વિસ્તૃત કરવાનો અને પછી તેમને એન્ક્રિપ્ટ કરવાનો પ્રયાસ પણ કરવામાં આવે છે.

આકૃતિ 51: સિસ્ટમ ફાઇલોને એન્ક્રિપ્ટ કરવી

6. આયાત અને અનુરૂપ ધ્વજ

નીચે નમૂના દ્વારા ઉપયોગમાં લેવાતા સૌથી સુસંગત આયાતો અને ફ્લેગોની યાદી આપતું કોષ્ટક છે:

૭. આઇઓસી

સંદર્ભો

• વપરાશકર્તાઓPublicrun.sct
• સ્ટાર્ટ મેનુપ્રોગ્રામ્સસ્ટાર્ટઅપસ્ટાર્ટ.બેટ એપડેટારોમિંગમાઈક્રોસોફ્ટવિન્ડોઝસ્ટાર્ટ
• મેનુપ્રોગ્રામ્સસ્ટાર્ટઅપસ્ટાર્ટ.બેટ

પાંડાલેબ્સ એન્ટિવાયરસ લેબોરેટરીના નિષ્ણાતો દ્વારા ર્યુક રેન્સમવેર પરનો ટેકનિકલ રિપોર્ટ તૈયાર કરવામાં આવ્યો હતો.

8. લિંક્સ

1. “Everis y Prisa Radio sufren un grave ciberataque que secuestra sus sistemas.”https://www. elconfidencial.com/tecnologia/2019-11-04/everis-la-ser-ciberataque-ransomware-15_2312019/, Publicada el 04/11/2019.

2. "Un virus de origen ruso ataca a importantes empresas españolas." https://elpais.com/tecnologia/2019/11/04/actualidad/1572897654_ 251312.html, Publicada el 04/11/2019.

3. “VB2019 પેપર: શિનિગામીનો બદલો: ર્યુક માલવેરની લાંબી પૂંછડી.” https://securelist.com/story-of-the-year-2019-cities-under-ransomware-siege/95456/, 11/12/2019 ના રોજ પ્રકાશિત

4. “ર્યુક સાથે મોટા શિકાર: અન્ય આકર્ષક લક્ષિત રેન્સમવેર.” https://www. crowdstrike.com/blog/big-game-hunting-with-ryuk-another-lucrative-targeted-ransomware/, 01/10/2019 ના રોજ પ્રકાશિત.

૫. “VB2019 પેપર: શિનિગામીનો બદલો: ર્યુક માલવેરની લાંબી પૂંછડી.” https://www. virusbulletin.com/virusbulletin/2019/10/ vb2019-paper-shinigamis-revenge-long-tail-r

સોર્સ: www.habr.com