Ryuk રેન્સમવેર કેવી રીતે કામ કરે છે, જે વ્યવસાયો પર હુમલો કરે છે

Ryuk છેલ્લા કેટલાક વર્ષોમાં સૌથી પ્રખ્યાત રેન્સમવેર વિકલ્પોમાંનું એક છે. 2018 ના ઉનાળામાં તે પ્રથમ વખત દેખાયો ત્યારથી, તે એકત્રિત કરવામાં આવ્યો છે પીડિતોની પ્રભાવશાળી સૂચિ, ખાસ કરીને વ્યવસાયિક વાતાવરણમાં, જે તેના હુમલાનું મુખ્ય લક્ષ્ય છે.

1. સામાન્ય માહિતી

આ દસ્તાવેજમાં Ryuk રેન્સમવેર વેરિઅન્ટનું વિશ્લેષણ છે, તેમજ સિસ્ટમમાં માલવેર લોડ કરવા માટે જવાબદાર લોડર છે.

Ryuk ransomware પ્રથમ વખત 2018 ના ઉનાળામાં દેખાયું હતું. Ryuk અને અન્ય રેન્સમવેર વચ્ચેનો એક તફાવત એ છે કે તેનો હેતુ કોર્પોરેટ વાતાવરણ પર હુમલો કરવાનો છે.

2019 ના મધ્યમાં, સાયબર અપરાધી જૂથોએ આ રેન્સમવેરનો ઉપયોગ કરીને મોટી સંખ્યામાં સ્પેનિશ કંપનીઓ પર હુમલો કર્યો.

ચોખા. 1: Ryuk રેન્સમવેર હુમલાના સંદર્ભમાં અલ કોન્ફિડેન્સિયલના અવતરણ [1]

ચોખા. 2: Ryuk ransomware નો ઉપયોગ કરીને કરવામાં આવેલા હુમલા વિશે અલ પેસના અંશો [2]
આ વર્ષે, Ryuk વિવિધ દેશોમાં મોટી સંખ્યામાં કંપનીઓ પર હુમલો કર્યો છે. જેમ તમે નીચેના આંકડાઓમાં જોઈ શકો છો, જર્મની, ચીન, અલ્જેરિયા અને ભારત સૌથી વધુ અસરગ્રસ્ત હતા.

સાયબર હુમલાઓની સંખ્યાની સરખામણી કરીને, અમે જોઈ શકીએ છીએ કે Ryuk એ લાખો વપરાશકર્તાઓને અસર કરી છે અને મોટી માત્રામાં ડેટા સાથે ચેડા કર્યા છે, જેના પરિણામે ગંભીર આર્થિક નુકસાન થયું છે.

ચોખા. 3: Ryuk ની વૈશ્વિક પ્રવૃત્તિનું ચિત્રણ.

ચોખા. 4: 16 દેશો Ryuk દ્વારા સૌથી વધુ અસરગ્રસ્ત છે

ચોખા. 5: Ryuk ransomware દ્વારા હુમલો કરાયેલા વપરાશકર્તાઓની સંખ્યા (લાખોમાં)

આવી ધમકીઓના સામાન્ય ઓપરેટિંગ સિદ્ધાંત મુજબ, આ રેન્સમવેર, એન્ક્રિપ્શન પૂર્ણ થયા પછી, પીડિતને ખંડણીની સૂચના બતાવે છે જે એનક્રિપ્ટેડ ફાઇલોની ઍક્સેસ પુનઃસ્થાપિત કરવા માટે ચોક્કસ સરનામાં પર બિટકોઇન્સમાં ચૂકવણી કરવી આવશ્યક છે.

આ માલવેર પ્રથમ વખત રજૂ કરવામાં આવ્યું ત્યારથી બદલાઈ ગયું છે.
આ દસ્તાવેજમાં વિશ્લેષિત આ ધમકીનો પ્રકાર જાન્યુઆરી 2020 માં હુમલાના પ્રયાસ દરમિયાન મળી આવ્યો હતો.

તેની જટિલતાને લીધે, આ માલવેર ઘણીવાર સંગઠિત સાયબર અપરાધી જૂથોને આભારી છે, જેને APT જૂથો તરીકે પણ ઓળખવામાં આવે છે.

Ryuk કોડનો ભાગ અન્ય જાણીતા રેન્સમવેર, હર્મેસના કોડ અને બંધારણ સાથે નોંધપાત્ર સમાનતા ધરાવે છે, જેની સાથે તેઓ સંખ્યાબંધ સમાન કાર્યો શેર કરે છે. આ કારણે જ આર્યુક શરૂઆતમાં ઉત્તર કોરિયાના જૂથ લાઝારસ સાથે જોડાયેલો હતો, જે તે સમયે હર્મેસ રેન્સમવેર પાછળ હોવાની શંકા હતી.

ક્રાઉડસ્ટ્રાઈકની ફાલ્કન એક્સ સેવાએ પછીથી નોંધ્યું કે ર્યુક વાસ્તવમાં વિઝાર્ડ સ્પાઈડર જૂથ દ્વારા બનાવવામાં આવ્યું હતું [૪].

આ ધારણાને સમર્થન આપવા માટે કેટલાક પુરાવા છે. પ્રથમ, આ રેન્સમવેરની જાહેરાત વેબસાઇટ exploit.in પર કરવામાં આવી હતી, જે એક જાણીતું રશિયન માલવેર માર્કેટપ્લેસ છે અને તે અગાઉ કેટલાક રશિયન APT જૂથો સાથે સંકળાયેલું છે.
આ હકીકત એ સિદ્ધાંતને નકારી કાઢે છે કે Ryuk લાઝારસ APT જૂથ દ્વારા વિકસાવવામાં આવી શકે છે, કારણ કે તે જૂથના સંચાલનની રીત સાથે બંધબેસતું નથી.

વધુમાં, Ryuk ની જાહેરાત રેન્સમવેર તરીકે કરવામાં આવી હતી જે રશિયન, યુક્રેનિયન અને બેલારુસિયન સિસ્ટમ પર કામ કરશે નહીં. આ વર્તણૂક Ryuk ના કેટલાક સંસ્કરણોમાં જોવા મળતી વિશેષતા દ્વારા નક્કી કરવામાં આવે છે, જ્યાં તે સિસ્ટમની ભાષા તપાસે છે કે જેના પર રેન્સમવેર ચાલી રહ્યું છે અને જો સિસ્ટમમાં રશિયન, યુક્રેનિયન અથવા બેલારુસિયન ભાષા હોય તો તેને ચાલતા અટકાવે છે. છેલ્લે, WIZARD SPIDER ટીમ દ્વારા હેક કરવામાં આવેલ મશીનના નિષ્ણાત વિશ્લેષણમાં ઘણી "આર્ટિફેક્ટ્સ" જાહેર કરવામાં આવી હતી જેનો કથિત રીતે હર્મેસ રેન્સમવેરના પ્રકાર તરીકે Ryukના વિકાસમાં ઉપયોગ કરવામાં આવ્યો હતો.

બીજી બાજુ, નિષ્ણાતો ગેબ્રિએલા નિકોલાઓ અને લુસિયાનો માર્ટિન્સે સૂચવ્યું કે રેન્સમવેર એપીટી જૂથ ક્રિપ્ટોટેક દ્વારા વિકસાવવામાં આવ્યું હોઈ શકે છે [5].
આ એ હકીકતને અનુસરે છે કે ર્યુકના દેખાવના ઘણા મહિનાઓ પહેલા, આ જૂથે તે જ સાઇટના ફોરમ પર માહિતી પોસ્ટ કરી હતી કે તેઓએ હર્મેસ રેન્સમવેરનું નવું સંસ્કરણ વિકસાવ્યું છે.

કેટલાક ફોરમ વપરાશકર્તાઓએ પ્રશ્ન કર્યો કે શું ક્રિપ્ટોટેક ખરેખર Ryuk બનાવ્યું છે. પછી જૂથે પોતાનો બચાવ કર્યો અને કહ્યું કે તેની પાસે પુરાવા છે કે તેઓએ 100% રેન્સમવેર વિકસાવ્યું છે.

2. લાક્ષણિકતાઓ

અમે બુટલોડરથી શરૂઆત કરીએ છીએ, જેનું કામ તે જે સિસ્ટમ પર છે તેને ઓળખવાનું છે જેથી Ryuk રેન્સમવેરનું "સાચું" વર્ઝન લોંચ કરી શકાય.
બુટલોડર હેશ નીચે મુજબ છે:

MD5 A73130B0E379A989CBA3D695A157A495
SHA256 EF231EE1A2481B7E627921468E79BB4369CCFAEB19A575748DD2B664ABC4F469

આ ડાઉનલોડરની એક વિશેષતા એ છે કે તેમાં કોઈ મેટાડેટા નથી, એટલે કે. આ માલવેરના નિર્માતાઓએ તેમાં કોઈ માહિતી શામેલ કરી નથી.

કેટલીકવાર તેઓ કાયદેસર એપ્લિકેશન ચલાવી રહ્યાં છે તે વિચારવા માટે વપરાશકર્તાને છેતરવા માટે તેઓ ભૂલભરેલા ડેટાનો સમાવેશ કરે છે. જો કે, જેમ આપણે પછી જોઈશું, જો ચેપમાં વપરાશકર્તાની ક્રિયાપ્રતિક્રિયા સામેલ ન હોય (જેમ કે આ રેન્સમવેરની બાબતમાં છે), તો હુમલાખોરો મેટાડેટાનો ઉપયોગ કરવાનું જરૂરી માનતા નથી.

ચોખા. 6: નમૂના મેટા ડેટા

નમૂનાને 32-બીટ ફોર્મેટમાં સંકલિત કરવામાં આવ્યો હતો જેથી તે 32-બીટ અને 64-બીટ બંને સિસ્ટમો પર ચાલી શકે.

3. ઘૂંસપેંઠ વેક્ટર

Ryuk ડાઉનલોડ કરે છે અને ચલાવે છે તે નમૂનો અમારી સિસ્ટમમાં રિમોટ કનેક્શન દ્વારા દાખલ થયો હતો, અને એક્સેસ પેરામીટર્સ પ્રારંભિક RDP હુમલા દ્વારા મેળવવામાં આવ્યા હતા.

ચોખા. 7: એટેક રજીસ્ટર

હુમલાખોર રિમોટલી સિસ્ટમમાં લૉગ ઇન કરવામાં સફળ રહ્યો. તે પછી, તેણે અમારા નમૂના સાથે એક્ઝિક્યુટેબલ ફાઇલ બનાવી.
આ એક્ઝેક્યુટેબલ ફાઇલને ચાલતા પહેલા એન્ટીવાયરસ સોલ્યુશન દ્વારા અવરોધિત કરવામાં આવી હતી.

ચોખા. 8: પેટર્ન લોક

ચોખા. 9: પેટર્ન લોક

જ્યારે દૂષિત ફાઇલને અવરોધિત કરવામાં આવી હતી, ત્યારે હુમલાખોરે એક્ઝેક્યુટેબલ ફાઇલનું એન્ક્રિપ્ટેડ સંસ્કરણ ડાઉનલોડ કરવાનો પ્રયાસ કર્યો હતો, જે પણ અવરોધિત હતી.

ચોખા. 10: હુમલાખોરે ચલાવવાનો પ્રયાસ કર્યો તે નમૂનાઓનો સમૂહ

અંતે, તેણે એનક્રિપ્ટેડ કન્સોલ દ્વારા બીજી દૂષિત ફાઇલ ડાઉનલોડ કરવાનો પ્રયાસ કર્યો
એન્ટીવાયરસ સુરક્ષાને બાયપાસ કરવા માટે પાવરશેલ. પરંતુ તેને પણ બ્લોક કરી દેવામાં આવ્યો હતો.

ચોખા. 11: દૂષિત સામગ્રી સાથે પાવરશેલ અવરોધિત


ચોખા. 12: દૂષિત સામગ્રી સાથે પાવરશેલ અવરોધિત

4. લોડર

જ્યારે તે એક્ઝેક્યુટ કરે છે, ત્યારે તે ફોલ્ડરમાં ReadMe ફાઇલ લખે છે % temp%, જે Ryuk માટે લાક્ષણિક છે. આ ફાઇલ પ્રોટોનમેલ ડોમેનમાં ઈમેલ એડ્રેસ ધરાવતી ખંડણીની નોંધ છે, જે આ માલવેર પરિવારમાં એકદમ સામાન્ય છે: [ઇમેઇલ સુરક્ષિત]

ચોખા. 13: ખંડણીની માંગણી

જ્યારે બુટલોડર ચાલી રહ્યું હોય, ત્યારે તમે જોઈ શકો છો કે તે રેન્ડમ નામો સાથે ઘણી એક્ઝિક્યુટેબલ ફાઇલો લોન્ચ કરે છે. તેઓ છુપાયેલા ફોલ્ડરમાં સંગ્રહિત છે જાહેર, પરંતુ જો ઓપરેટિંગ સિસ્ટમમાં વિકલ્પ સક્રિય નથી "છુપાયેલ ફાઇલો અને ફોલ્ડર્સ બતાવો", પછી તેઓ છુપાયેલા રહેશે. તદુપરાંત, આ ફાઇલો 64-બીટ છે, પેરેંટ ફાઇલથી વિપરીત, જે 32-બીટ છે.

ચોખા. 14: નમૂના દ્વારા એક્ઝિક્યુટેબલ ફાઇલો લોન્ચ કરવામાં આવી છે

જેમ તમે ઉપરની ઈમેજમાં જોઈ શકો છો, Ryuk એ icacls.exe લોન્ચ કર્યું છે, જેનો ઉપયોગ તમામ ACLs (એક્સેસ કંટ્રોલ લિસ્ટ) ને સંશોધિત કરવા માટે કરવામાં આવશે, આમ ફ્લેગ્સની ઍક્સેસ અને ફેરફારની ખાતરી થશે.

તે ભૂલો (/C) ને ધ્યાનમાં લીધા વિના અને કોઈપણ સંદેશા (/Q) દર્શાવ્યા વિના ઉપકરણ (/T) પરની બધી ફાઇલો માટે તમામ વપરાશકર્તાઓ હેઠળ સંપૂર્ણ ઍક્સેસ મેળવે છે.

ચોખા. 15: નમૂના દ્વારા icacls.exe ના એક્ઝિક્યુશન પેરામીટર્સ લોન્ચ કરવામાં આવ્યા છે

એ નોંધવું અગત્યનું છે કે Ryuk તપાસે છે કે તમે Windowsનું કયું સંસ્કરણ ચલાવી રહ્યાં છો. આ માટે તેમણે
નો ઉપયોગ કરીને સંસ્કરણ તપાસ કરે છે GetVersionExW, જેમાં તે ધ્વજની કિંમત તપાસે છે એલપી વર્ઝન માહિતીવિન્ડોઝનું વર્તમાન સંસ્કરણ તેના કરતા નવું છે કે કેમ તે દર્શાવે છે વિન્ડોઝ XP.

તમે Windows XP કરતાં પાછળનું સંસ્કરણ ચલાવી રહ્યાં છો કે કેમ તેના આધારે, બૂટ લોડર સ્થાનિક વપરાશકર્તા ફોલ્ડર પર લખશે - આ કિસ્સામાં ફોલ્ડરમાં %જાહેર%.

ચોખા. 17: ઓપરેટિંગ સિસ્ટમ સંસ્કરણ તપાસી રહ્યું છે

જે ફાઇલ લખવામાં આવી રહી છે તે Ryuk છે. તે પછી તેને ચલાવે છે, તેનું પોતાનું સરનામું પરિમાણ તરીકે પસાર કરે છે.

ચોખા. 18: ShellExecute મારફતે Ryuk એક્ઝિક્યુટ કરો

Ryuk જે પ્રથમ વસ્તુ કરે છે તે ઇનપુટ પરિમાણો પ્રાપ્ત કરે છે. આ વખતે ત્યાં બે ઇનપુટ પરિમાણો છે (એક્ઝિક્યુટેબલ પોતે અને ડ્રોપર સરનામું) જેનો ઉપયોગ તેના પોતાના નિશાનને દૂર કરવા માટે થાય છે.

ચોખા. 19: એક પ્રક્રિયા બનાવવી

તમે એ પણ જોઈ શકો છો કે એકવાર તે તેના એક્ઝિક્યુટેબલ્સ ચલાવે છે, તે પોતાની જાતને કાઢી નાખે છે, આમ તે ફોલ્ડરમાં તેની પોતાની હાજરીનો કોઈ નિશાન છોડતો નથી જ્યાં તેને એક્ઝિક્યુટ કરવામાં આવ્યો હતો.

ચોખા. 20: ફાઇલ કાઢી નાખવી

5. RYUK

5.1 હાજરી
Ryuk, અન્ય માલવેરની જેમ, શક્ય તેટલા લાંબા સમય સુધી સિસ્ટમ પર રહેવાનો પ્રયાસ કરે છે. ઉપર બતાવ્યા પ્રમાણે, આ ધ્યેય હાંસલ કરવાની એક રીત ગુપ્ત રીતે એક્ઝેક્યુટેબલ ફાઇલો બનાવવા અને ચલાવવાની છે. આ કરવા માટે, રજિસ્ટ્રી કી બદલવાની સૌથી સામાન્ય પ્રથા છે કરંટવેર્શનરન.
આ કિસ્સામાં, તમે જોઈ શકો છો કે આ હેતુ માટે પ્રથમ ફાઇલ લોન્ચ કરવામાં આવશે VWjRF.exe
(ફાઇલનું નામ રેન્ડમલી જનરેટ થયેલ છે) લોન્ચ થાય છે સેમીડી.એક્સી.

ચોખા. 21: VWjRF.exe એક્ઝેક્યુટીંગ

પછી આદેશ દાખલ કરો રન કરો નામ સાથે"svchos". આમ, જો તમે કોઈપણ સમયે રજિસ્ટ્રી કીઓ તપાસવા માંગતા હો, તો svchost સાથે આ નામની સમાનતાને જોતાં, તમે સરળતાથી આ ફેરફારને ચૂકી શકો છો. આ કીનો આભાર, Ryuk સિસ્ટમમાં તેની હાજરીની ખાતરી કરે છે. જો સિસ્ટમ પાસે નથી. હજુ સુધી ચેપ લાગ્યો છે, પછી જ્યારે તમે સિસ્ટમ રીબૂટ કરશો, ત્યારે એક્ઝેક્યુટેબલ ફરીથી પ્રયાસ કરશે.

ચોખા. 22: નમૂના રજિસ્ટ્રી કીમાં હાજરીની ખાતરી કરે છે

અમે એ પણ જોઈ શકીએ છીએ કે આ એક્ઝેક્યુટેબલ બે સેવાઓને બંધ કરે છે:
"audioendpoint બિલ્ડર", જે, તેના નામ પ્રમાણે, સિસ્ટમ ઓડિયોને અનુરૂપ છે,

ચોખા. 23: સેમ્પલ સિસ્ટમ ઓડિયો સેવા બંધ કરે છે

и સેમ્સ, જે એકાઉન્ટ મેનેજમેન્ટ સેવા છે. આ બે સેવાઓ બંધ કરવી એ Ryuk ની લાક્ષણિકતા છે. આ કિસ્સામાં, જો સિસ્ટમ SIEM સિસ્ટમ સાથે જોડાયેલ હોય, તો રેન્સમવેર તેને મોકલવાનું બંધ કરવાનો પ્રયાસ કરે છે. એસ.આઇ.ઇ.એમ. કોઈપણ ચેતવણીઓ. આ રીતે, તે તેના આગળના પગલાઓનું રક્ષણ કરે છે કારણ કે કેટલીક SAM સેવાઓ Ryuk ને એક્ઝિક્યુટ કર્યા પછી તેમનું કાર્ય યોગ્ય રીતે શરૂ કરી શકશે નહીં.

ચોખા. 24: નમૂનાની Samss સેવા બંધ

5.2 વિશેષાધિકારો

સામાન્ય રીતે કહીએ તો, Ryuk નેટવર્કની અંદર બાજુથી ખસેડીને શરૂ કરે છે અથવા તે અન્ય માલવેર દ્વારા લોન્ચ થાય છે જેમ કે એમોટેટ અથવા ટ્રિકબોટ, જે, વિશેષાધિકાર વૃદ્ધિના કિસ્સામાં, આ એલિવેટેડ અધિકારોને રેન્સમવેરમાં સ્થાનાંતરિત કરે છે.

અગાઉથી, અમલીકરણ પ્રક્રિયાના પ્રસ્તાવના તરીકે, અમે તેને પ્રક્રિયા હાથ ધરતા જોઈએ છીએ સ્વયંનો સ્વાંગ, જેનો અર્થ છે કે એક્સેસ ટોકનની સુરક્ષા સામગ્રીઓ સ્ટ્રીમમાં પસાર કરવામાં આવશે, જ્યાં તે તરત જ તેનો ઉપયોગ કરીને પુનઃપ્રાપ્ત કરવામાં આવશે. GetCurrentThread.

ચોખા. 25: ImpersonateSelf ને કૉલ કરો

પછી આપણે જોઈએ છીએ કે તે એક એક્સેસ ટોકનને થ્રેડ સાથે સાંકળશે. અમે પણ જુઓ કે ધ્વજ એક છે ઇચ્છિત ઍક્સેસ, જેનો ઉપયોગ થ્રેડની ઍક્સેસને નિયંત્રિત કરવા માટે થઈ શકે છે. આ કિસ્સામાં edx જે મૂલ્ય પ્રાપ્ત કરશે તે હોવું જોઈએ TOKEN_ALL_ACESS અથવા અન્યથા - TOKEN_WRITE.

ચોખા. 26: ફ્લો ટોકન બનાવવું

પછી તે ઉપયોગ કરશે SeDebugPrivilege અને થ્રેડ પર ડીબગ પરવાનગીઓ મેળવવા માટે કૉલ કરશે, પરિણામે PROCESS_ALL_ACCESS, તે કોઈપણ જરૂરી પ્રક્રિયાને ઍક્સેસ કરી શકશે. હવે, આપેલ છે કે એન્ક્રિપ્ટર પાસે પહેલેથી જ તૈયાર સ્ટ્રીમ છે, જે બાકી છે તે અંતિમ તબક્કામાં આગળ વધવાનું છે.

ચોખા. 27: SeDebugPrivilege અને પ્રિવિલેજ એસ્કેલેશન ફંક્શનને કૉલ કરવું

એક તરફ, અમારી પાસે LookupPrivilegeValueW છે, જે અમને વિશેષાધિકારો વિશે જરૂરી માહિતી પ્રદાન કરે છે જે અમે વધારવા માંગીએ છીએ.

ચોખા. 28: વિશેષાધિકાર વૃદ્ધિ માટે વિશેષાધિકારો વિશે માહિતીની વિનંતી કરો

બીજી બાજુ, અમારી પાસે છે ટોકન વિશેષાધિકારોને સમાયોજિત કરો, જે અમને અમારા પ્રવાહના જરૂરી અધિકારો મેળવવાની મંજૂરી આપે છે. આ કિસ્સામાં, સૌથી મહત્વની વસ્તુ છે ન્યૂ સ્ટેટ, જેનો ધ્વજ વિશેષાધિકારો આપશે.

ચોખા. 29: ટોકન માટે પરવાનગીઓ સેટ કરવી

5.3 અમલીકરણ

આ વિભાગમાં, અમે બતાવીશું કે આ અહેવાલમાં અગાઉ ઉલ્લેખિત અમલીકરણ પ્રક્રિયા નમૂના કેવી રીતે કરે છે.

અમલીકરણ પ્રક્રિયાનો મુખ્ય ધ્યેય, તેમજ એસ્કેલેશન, ઍક્સેસ મેળવવાનો છે છાયા નકલો. આ કરવા માટે, તેણે સ્થાનિક વપરાશકર્તા કરતા વધુ અધિકારો સાથે થ્રેડ સાથે કામ કરવાની જરૂર છે. એકવાર તે આવા એલિવેટેડ અધિકારો મેળવે તે પછી, તે ઓપરેટિંગ સિસ્ટમમાં અગાઉના પુનઃસ્થાપિત બિંદુ પર પાછા આવવાનું અશક્ય બનાવવા માટે નકલો કાઢી નાખશે અને અન્ય પ્રક્રિયાઓમાં ફેરફારો કરશે.

જેમ કે આ પ્રકારના માલવેર સાથે સામાન્ય છે, તે ઉપયોગ કરે છે CreateToolHelp32Snapshotતેથી તે હાલમાં ચાલી રહેલી પ્રક્રિયાઓનો સ્નેપશોટ લે છે અને તેનો ઉપયોગ કરીને તે પ્રક્રિયાઓને ઍક્સેસ કરવાનો પ્રયાસ કરે છે ઓપનપ્રોસેસ. એકવાર તે પ્રક્રિયામાં પ્રવેશ મેળવે છે, તે પ્રક્રિયાના પરિમાણો મેળવવા માટે તેની માહિતી સાથે ટોકન પણ ખોલે છે.

ચોખા. 30: કોમ્પ્યુટરમાંથી પ્રક્રિયાઓ પુનઃપ્રાપ્ત કરવી

CreateToolhelp140002Snapshot નો ઉપયોગ કરીને તેને રૂટિન 9D32C માં ચાલી રહેલી પ્રક્રિયાઓની સૂચિ કેવી રીતે મળે છે તે અમે ગતિશીલ રીતે જોઈ શકીએ છીએ. તે પ્રાપ્ત કર્યા પછી, તે સૂચિમાંથી પસાર થાય છે, જ્યાં સુધી તે સફળ ન થાય ત્યાં સુધી OpenProcess નો ઉપયોગ કરીને એક પછી એક પ્રક્રિયાઓ ખોલવાનો પ્રયાસ કરે છે. આ કિસ્સામાં, પ્રથમ પ્રક્રિયા તે ખોલવામાં સક્ષમ હતી "taskhost.exe".

ચોખા. 31: પ્રક્રિયા મેળવવા માટે ગતિશીલ રીતે એક્ઝિક્યુટ કરો

અમે જોઈ શકીએ છીએ કે તે પછીથી પ્રક્રિયા ટોકન માહિતી વાંચે છે, તેથી તે કૉલ કરે છે OpenProcessToken પરિમાણ સાથે "20008"

ચોખા. 32: પ્રક્રિયા ટોકન માહિતી વાંચો

તે એ પણ તપાસે છે કે તેને જે પ્રક્રિયામાં ઇન્જેક્ટ કરવામાં આવશે તે નથી csrss.exe, explorer.exe, lsaas.exe અથવા તેની પાસે અધિકારોનો સમૂહ છે એનટી ઓથોરિટી.

ચોખા. 33: બાકાત પ્રક્રિયાઓ

અમે ગતિશીલ રીતે જોઈ શકીએ છીએ કે તે પ્રથમ પ્રક્રિયા ટોકન માહિતીનો ઉપયોગ કરીને તપાસ કેવી રીતે કરે છે 140002D9C પ્રક્રિયા ચલાવવા માટે જેના અધિકારોનો ઉપયોગ કરવામાં આવે છે તે એકાઉન્ટ છે કે કેમ તે શોધવા માટે એનટી ઓથોરિટી.

ચોખા. 34: એનટી ઓથોરિટી તપાસ

અને પછીથી, પ્રક્રિયાની બહાર, તે તપાસે છે કે આ નથી csrss.exe, explorer.exe અથવા lsaas.exe.

ચોખા. 35: એનટી ઓથોરિટી તપાસ

એકવાર તેણે પ્રક્રિયાઓનો સ્નેપશોટ લીધો, પ્રક્રિયાઓ ખોલી, અને તેમાંથી કોઈ પણ બાકાત નથી તેની ચકાસણી કરી લીધા પછી, તે ઇન્જેક્ટ કરવામાં આવશે તેવી પ્રક્રિયાઓને મેમરીમાં લખવા માટે તૈયાર છે.

આ કરવા માટે, તે પહેલા મેમરીમાં એક વિસ્તાર અનામત રાખે છે (VirtualAllocEx), તેમાં લખે છે (WriteProcessmemory) અને થ્રેડ બનાવે છે (રીમોટ થ્રેડ બનાવો). આ ફંક્શન્સ સાથે કામ કરવા માટે, તે પસંદ કરેલી પ્રક્રિયાઓના PID નો ઉપયોગ કરે છે, જેનો ઉપયોગ તેણે અગાઉ મેળવ્યો હતો ટૂલહેલ્પ32સ્નેપશોટ બનાવો.

ચોખા. 36: એમ્બેડ કોડ

અહીં આપણે ગતિશીલ રીતે અવલોકન કરી શકીએ છીએ કે તે કેવી રીતે કાર્યને કૉલ કરવા માટે PID પ્રક્રિયાનો ઉપયોગ કરે છે VirtualAllocEx.

ચોખા. 37: VirtualAllocEx ને કૉલ કરો

5.4 એન્ક્રિપ્શન
આ વિભાગમાં, અમે આ નમૂનાના એન્ક્રિપ્શન ભાગને જોઈશું. નીચેના ચિત્રમાં તમે બે સબરૂટિન જોઈ શકો છો જેને "LoadLibrary_EncodeString"અને"Encode_Func", જે એન્ક્રિપ્શન પ્રક્રિયા કરવા માટે જવાબદાર છે.

ચોખા. 38: એન્ક્રિપ્શન પ્રક્રિયાઓ

શરૂઆતમાં આપણે જોઈ શકીએ છીએ કે તે કેવી રીતે સ્ટ્રિંગ લોડ કરે છે જેનો ઉપયોગ પછીથી જરૂરી દરેક વસ્તુને ડિઓબફસ્કેટ કરવા માટે કરવામાં આવશે: આયાત, DLL, આદેશો, ફાઇલો અને CSP.

ચોખા. 39: ડિઓફસ્કેશન સર્કિટ

નીચેનો આંકડો પ્રથમ આયાત દર્શાવે છે જે તે રજિસ્ટર R4 માં ડિઓફસ્કેટ કરે છે. લોડલીબાયરી. આનો ઉપયોગ પછીથી જરૂરી DLL લોડ કરવા માટે કરવામાં આવશે. અમે રજિસ્ટર R12 માં બીજી લાઇન પણ જોઈ શકીએ છીએ, જેનો ઉપયોગ ડિઓબફસકેશન કરવા માટે અગાઉની લાઇન સાથે થાય છે.

ચોખા. 40: ડાયનેમિક ડિઓફસ્કેશન

તે આદેશોને ડાઉનલોડ કરવાનું ચાલુ રાખે છે કે તે બેકઅપને અક્ષમ કરવા, પોઈન્ટ પુનઃસ્થાપિત કરવા અને સલામત બૂટ મોડ્સ માટે પછીથી ચાલશે.

ચોખા. 41: આદેશો લોડ કરી રહ્યા છીએ

પછી તે સ્થાન લોડ કરે છે જ્યાં તે 3 ફાઇલો છોડશે: Windows.bat, run.sct и બેટ.

ચોખા. 42: ફાઇલ સ્થાનો

આ 3 ફાઇલોનો ઉપયોગ દરેક સ્થાન પાસેના વિશેષાધિકારોને તપાસવા માટે થાય છે. જો જરૂરી વિશેષાધિકારો ઉપલબ્ધ ન હોય, તો Ryuk અમલ કરવાનું બંધ કરે છે.

તે ત્રણ ફાઇલોને અનુરૂપ રેખાઓ લોડ કરવાનું ચાલુ રાખે છે. પ્રથમ, DECRYPT_INFORMATION.html, ફાઈલો પુનઃપ્રાપ્ત કરવા માટે જરૂરી માહિતી સમાવે છે. બીજું, જાહેર, RSA સાર્વજનિક કી સમાવે છે.

ચોખા. 43: લાઈન ડીક્રિપ્ટ INFORMATION.html

ત્રીજું, UNIQUE_ID_DO_NOT_REMOVE, એ એન્ક્રિપ્ટેડ કી ધરાવે છે જેનો ઉપયોગ એનક્રિપ્શન કરવા માટે આગામી રૂટિનમાં કરવામાં આવશે.

ચોખા. 44: લાઈન યુનિક આઈડી દૂર કરશો નહીં

છેલ્લે, તે જરૂરી આયાત અને CSPs સાથે જરૂરી પુસ્તકાલયો ડાઉનલોડ કરે છે (માઈક્રોસોફ્ટ ઉન્નત RSA и AES ક્રિપ્ટોગ્રાફિક પ્રદાતા).

ચોખા. 45: લાઈબ્રેરીઓ લોડ થઈ રહી છે

તમામ ડિઓફસ્કેશન પૂર્ણ થયા પછી, તે એન્ક્રિપ્શન માટે જરૂરી ક્રિયાઓ કરવા માટે આગળ વધે છે: બધી લોજિકલ ડ્રાઈવોની ગણતરી કરવી, અગાઉના રૂટિનમાં લોડ થયેલું એક્ઝિક્યુટ કરવું, સિસ્ટમમાં હાજરીને મજબૂત કરવી, RyukReadMe.html ફાઈલ ફેંકવી, એન્ક્રિપ્શન, બધી નેટવર્ક ડ્રાઈવોની ગણતરી કરવી. , શોધાયેલ ઉપકરણો અને તેમના એન્ક્રિપ્શનમાં સંક્રમણ.
તે બધું લોડિંગ સાથે શરૂ થાય છે"સેમીડી.એક્સી" અને RSA સાર્વજનિક કી રેકોર્ડ્સ.

ચોખા. 46: એન્ક્રિપ્શન માટે તૈયારી

પછી તે તમામ લોજિકલ ડ્રાઇવ્સનો ઉપયોગ કરીને મેળવે છે GetLogicalDrives અને તમામ બેકઅપ, પુનઃસ્થાપિત પોઈન્ટ અને સલામત બુટ મોડ્સને અક્ષમ કરે છે.

ચોખા. 47: પુનઃપ્રાપ્તિ સાધનોને નિષ્ક્રિય કરી રહ્યા છીએ

તે પછી, તે સિસ્ટમમાં તેની હાજરીને મજબૂત બનાવે છે, જેમ આપણે ઉપર જોયું, અને પ્રથમ ફાઇલ લખે છે RyukReadMe.html в ટેમ્પ.

ચોખા. 48: ખંડણીની નોટિસ પ્રકાશિત કરવી

નીચેના ચિત્રમાં તમે જોઈ શકો છો કે તે કેવી રીતે ફાઇલ બનાવે છે, સામગ્રી ડાઉનલોડ કરે છે અને તેને લખે છે:

ચોખા. 49: ફાઇલ સમાવિષ્ટો લોડ અને લખી રહ્યાં છે

બધા ઉપકરણો પર સમાન ક્રિયાઓ કરવા માટે સક્ષમ થવા માટે, તે ઉપયોગ કરે છે
"icacls.exe", જેમ આપણે ઉપર બતાવ્યું છે.

ચોખા. 50: icalcls.exe નો ઉપયોગ કરવો

અને અંતે, તે “*.exe”, “*.dll” ફાઇલો, સિસ્ટમ ફાઇલો અને એનક્રિપ્ટેડ વ્હાઇટ લિસ્ટના સ્વરૂપમાં ઉલ્લેખિત અન્ય સ્થાનો સિવાય ફાઇલોને એનક્રિપ્ટ કરવાનું શરૂ કરે છે. આ કરવા માટે, તે આયાતનો ઉપયોગ કરે છે: CryptAcquireContextW (જ્યાં AES અને RSA નો ઉપયોગ ઉલ્લેખિત છે), CryptDeriveKey, CryptGenKey, CryptDestroyKey વગેરે તે WNetEnumResourceW નો ઉપયોગ કરીને શોધાયેલ નેટવર્ક ઉપકરણો સુધી તેની પહોંચને વિસ્તારવાનો અને પછી તેને એન્ક્રિપ્ટ કરવાનો પણ પ્રયાસ કરે છે.

ચોખા. 51: સિસ્ટમ ફાઇલોને એન્ક્રિપ્ટ કરી રહી છે

6. આયાત અને અનુરૂપ ધ્વજ

નમૂના દ્વારા ઉપયોગમાં લેવાતી સૌથી વધુ સુસંગત આયાત અને ફ્લેગ્સની સૂચિ નીચે એક કોષ્ટક છે:

7. આઇઓસી

સંદર્ભો

• userPublicrun.sct
• Start MenuProgramsStartupstart.bat AppDataRoamingMicrosoftWindowsStart
• MenuProgramsStartupstart.bat

Ryuk ransomware પર એક ટેકનિકલ રિપોર્ટ એન્ટીવાયરસ લેબોરેટરી PandaLabs ના નિષ્ણાતો દ્વારા સંકલિત કરવામાં આવ્યો હતો.

8. લિંક્સ

1. “Everis y Prisa Radio sufren un grave ciberataque que secuestra sus sistemas.”https://www. elconfidencial.com/tecnologia/2019-11-04/everis-la-ser-ciberataque-ransomware-15_2312019/, Publicada el 04/11/2019.

2. "Un virus de origen ruso ataca a importantes empresas españolas." https://elpais.com/tecnologia/2019/11/04/actualidad/1572897654_ 251312.html, Publicada el 04/11/2019.

3. “VB2019 પેપર: Shinigami's revenge: the long tail of the Ryuk malware.” https://securelist.com/story-of-the-year-2019-cities-under-ransomware-siege/95456/, Publicada el 11 /12/2019

4. "Ryuk સાથે મોટી રમત શિકાર: અન્ય આકર્ષકbTargeted Ransomware."https://www. crowdstrike.com/blog/big-game-hunting-with-ryuk-another-lucrative-targeted-ransomware/, Publicada el 10/01/2019.

5. “VB2019 પેપર: શિનિગામીનો બદલો: Ryuk માલવેરની લાંબી પૂંછડી.” https://www. virusbulletin.com/virusbulletin/2019/10/ vb2019-paper-shinigamis-revenge-long-tail-r

સોર્સ: www.habr.com