Wulfric Ransomware – એક રેન્સમવેર જે અસ્તિત્વમાં નથી

કેટલીકવાર તમે ફક્ત કેટલાક વાયરસ લેખકની આંખોમાં જોવા માંગો છો અને પૂછો છો: શા માટે અને શા માટે? અમે "કેવી રીતે" પ્રશ્નનો જવાબ આપી શકીએ છીએ, પરંતુ આ અથવા તે માલવેર નિર્માતા શું વિચારી રહ્યા હતા તે શોધવું ખૂબ જ રસપ્રદ રહેશે. ખાસ કરીને જ્યારે આપણે આવા "મોતી" ની સામે આવીએ છીએ.

આજના લેખનો હીરો એ ક્રિપ્ટોગ્રાફરનું એક રસપ્રદ ઉદાહરણ છે. તે દેખીતી રીતે માત્ર અન્ય "રેન્સમવેર" તરીકે કલ્પના કરવામાં આવી હતી, પરંતુ તેનું તકનીકી અમલીકરણ કોઈના ક્રૂર મજાક જેવું લાગે છે. અમે આજે આ અમલીકરણ વિશે વાત કરીશું.

કમનસીબે, આ એન્કોડરના જીવન ચક્રને શોધી કાઢવું ​​લગભગ અશક્ય છે - તેના પર ઘણા ઓછા આંકડા છે, કારણ કે, સદભાગ્યે, તે વ્યાપક બન્યું નથી. તેથી, અમે મૂળ, ચેપની પદ્ધતિઓ અને અન્ય સંદર્ભો છોડીશું. સાથેની મુલાકાતના અમારા કિસ્સા વિશે જ વાત કરીએ વલ્ફ્રિક રેન્સમવેર અને કેવી રીતે અમે વપરાશકર્તાને તેની ફાઇલો સાચવવામાં મદદ કરી.

I. આ બધું કેવી રીતે શરૂ થયું

રેન્સમવેરનો ભોગ બનેલા લોકો વારંવાર અમારી એન્ટી-વાયરસ લેબોરેટરીનો સંપર્ક કરે છે. તેઓએ કયા એન્ટિવાયરસ ઉત્પાદનો ઇન્સ્ટોલ કર્યા છે તેને ધ્યાનમાં લીધા વિના અમે સહાય પ્રદાન કરીએ છીએ. આ વખતે અમારો એક વ્યક્તિ દ્વારા સંપર્ક કરવામાં આવ્યો જેની ફાઇલો અજાણ્યા એન્કોડર દ્વારા પ્રભાવિત થઈ હતી.

શુભ બપોર ફાઇલો ફાઇલ સ્ટોરેજ (samba4) પર પાસવર્ડ રહિત લૉગિન સાથે એનક્રિપ્ટ કરવામાં આવી હતી. મને શંકા છે કે ચેપ મારી પુત્રીના કમ્પ્યુટરથી આવ્યો છે (માનક Windows ડિફેન્ડર સુરક્ષા સાથે Windows 10). ત્યાર બાદ દીકરીનું કોમ્પ્યુટર ચાલુ નહોતું. ફાઇલો મુખ્યત્વે .jpg અને .cr2 એન્ક્રિપ્ટેડ છે. એન્ક્રિપ્શન પછી ફાઇલ એક્સ્ટેંશન: .aef.

અમે એન્ક્રિપ્ટેડ ફાઇલોના યુઝર સેમ્પલ, ખંડણીની નોંધ અને ફાઇલ પ્રાપ્ત કરી છે જે ફાઇલોને ડિક્રિપ્ટ કરવા માટે રેન્સમવેર લેખકને જરૂરી ચાવી છે.

અહીં અમારા બધા સંકેતો છે:

• 01c.aef (4481K)
• hacked.jpg (254K)
• hacked.txt (0K)
• 04c.aef (6540K)
• pass.key (0K)

ચાલો નોંધ પર એક નજર કરીએ. આ વખતે કેટલા બિટકોઇન્સ?

અનુવાદ:

ધ્યાન આપો, તમારી ફાઇલો એન્ક્રિપ્ટેડ છે!
પાસવર્ડ તમારા PC માટે અનન્ય છે.

બિટકોઈન એડ્રેસ પર 0.05 BTC ની રકમ ચૂકવો: 1ERtRjWAKyG2Edm9nKLLCzd8p1CjjdTiF
ચુકવણી કર્યા પછી, પાસ.કી ફાઇલને જોડીને મને એક ઇમેઇલ મોકલો [ઇમેઇલ સુરક્ષિત] ચુકવણીની સૂચના સાથે.

પુષ્ટિકરણ પછી, હું તમને ફાઇલો માટે ડિક્રિપ્ટર મોકલીશ.

તમે બિટકોઇન્સ માટે ઓનલાઇન અલગ અલગ રીતે ચૂકવણી કરી શકો છો:
buy.blockexplorer.com - બેંક કાર્ડ દ્વારા ચુકવણી
www.buybitcoinworldwide.com
localbitcoins.net

બિટકોઇન્સ વિશે:
en.wikipedia.org/wiki/Bitcoin
જો તમને કોઈ પ્રશ્નો હોય, તો કૃપા કરીને મને અહીં લખો [ઇમેઇલ સુરક્ષિત]
બોનસ તરીકે, હું તમને કહીશ કે તમારું કમ્પ્યુટર કેવી રીતે હેક થયું અને ભવિષ્યમાં તેને કેવી રીતે સુરક્ષિત કરવું.

એક શેખીખોર વરુ, પીડિતને પરિસ્થિતિની ગંભીરતા બતાવવા માટે રચાયેલ છે. જો કે, તે વધુ ખરાબ હોઈ શકે છે.

ચોખા. 1. -બોનસ તરીકે, હું તમને કહીશ કે ભવિષ્યમાં તમારા કમ્પ્યુટરને કેવી રીતે સુરક્ષિત કરવું. - કાયદેસર લાગે છે.

II. ચાલો, શરુ કરીએ

સૌ પ્રથમ, અમે મોકલેલા નમૂનાનું બંધારણ જોયું. વિચિત્ર રીતે, તે રેન્સમવેર દ્વારા ક્ષતિગ્રસ્ત થયેલી ફાઇલ જેવી દેખાતી ન હતી. હેક્સાડેસિમલ એડિટર ખોલો અને એક નજર નાખો. પ્રથમ 4 બાઇટ્સ મૂળ ફાઇલ કદ ધરાવે છે, આગામી 60 બાઇટ્સ શૂન્યથી ભરેલા છે. પરંતુ સૌથી રસપ્રદ બાબત અંતે છે:

ચોખા. 2 ક્ષતિગ્રસ્ત ફાઇલનું વિશ્લેષણ કરો. શું તરત જ તમારી આંખ પકડે છે?

બધું નકામી રીતે સરળ બન્યું: હેડરમાંથી 0x40 બાઇટ્સ ફાઇલના અંતમાં ખસેડવામાં આવ્યા હતા. ડેટા પુનઃસ્થાપિત કરવા માટે, ફક્ત તેને શરૂઆતમાં પાછા આવો. ફાઇલની ઍક્સેસ પુનઃસ્થાપિત કરવામાં આવી છે, પરંતુ નામ એન્ક્રિપ્ટેડ રહે છે, અને તેની સાથે વસ્તુઓ વધુ જટિલ બની રહી છે.

ચોખા. 3. Base64 માં એન્ક્રિપ્ટેડ નામ અક્ષરોના રેમ્બલિંગ સેટ જેવું લાગે છે.

ચાલો તેને આકૃતિ કરવાનો પ્રયાસ કરીએ પાસ કી, વપરાશકર્તા દ્વારા સબમિટ. તેમાં આપણે ASCII અક્ષરોનો 162-બાઈટનો ક્રમ જોઈએ છીએ.

ચોખા. 4. પીડિતના PC પર 162 અક્ષરો બાકી છે.

જો તમે નજીકથી જોશો, તો તમે જોશો કે પ્રતીકો ચોક્કસ આવર્તન સાથે પુનરાવર્તિત થાય છે. આ XOR નો ઉપયોગ સૂચવી શકે છે, જે પુનરાવર્તનો દ્વારા વર્ગીકૃત થયેલ છે, જેની આવર્તન કી લંબાઈ પર આધારિત છે. સ્ટ્રિંગને 6 અક્ષરોમાં વિભાજિત કર્યા પછી અને XOR સિક્વન્સના કેટલાક પ્રકારો સાથે XOR કર્યા પછી, અમે કોઈ અર્થપૂર્ણ પરિણામ પ્રાપ્ત કર્યું નથી.

ચોખા. 5. મધ્યમાં પુનરાવર્તિત સ્થિરાંકો જુઓ?

અમે સ્થિરાંકો ગૂગલ કરવાનું નક્કી કર્યું, કારણ કે હા, તે પણ શક્ય છે! અને તે બધા આખરે એક અલ્ગોરિધમ તરફ દોરી ગયા - બેચ એન્ક્રિપ્શન. સ્ક્રિપ્ટનો અભ્યાસ કર્યા પછી, તે સ્પષ્ટ થઈ ગયું કે અમારી લાઇન તેના કામના પરિણામ સિવાય બીજું કંઈ નથી. તે ઉલ્લેખ કરવો જોઈએ કે આ કોઈ એન્ક્રિપ્ટર નથી, પરંતુ માત્ર એક એન્કોડર છે જે 6-બાઈટ સિક્વન્સ સાથે અક્ષરોને બદલે છે. તમારા માટે કોઈ કીઓ અથવા અન્ય રહસ્યો નથી :)

ચોખા. 6. અજાણ્યા લેખકત્વના મૂળ અલ્ગોરિધમનો એક ભાગ.

જો એક વિગત માટે ન હોય તો અલ્ગોરિધમ કામ કરશે નહીં:

ચોખા. 7. મોર્ફિયસ મંજૂર.

રિવર્સ અવેજીનો ઉપયોગ કરીને આપણે સ્ટ્રિંગને માંથી રૂપાંતરિત કરીએ છીએ પાસ કી 27 અક્ષરોના ટેક્સ્ટમાં. માનવ (મોટે ભાગે) લખાણ 'અસ્મોડાત' વિશેષ ધ્યાન આપવાનું પાત્ર છે.

ફિગ.8. USGFDG=7.

Google ફરીથી અમને મદદ કરશે. થોડી શોધ કર્યા પછી, અમને GitHub પર એક રસપ્રદ પ્રોજેક્ટ મળ્યો - ફોલ્ડર લોકર, જે .Net માં લખાયેલ છે અને અન્ય Git એકાઉન્ટમાંથી 'asmodat' લાઇબ્રેરીનો ઉપયોગ કરે છે.

ચોખા. 9. ફોલ્ડર લોકર ઈન્ટરફેસ. માલવેર માટે તપાસ કરવાની ખાતરી કરો.

યુટિલિટી એ Windows 7 અને ઉચ્ચતર માટે એન્ક્રિપ્ટર છે, જે ઓપન સોર્સ તરીકે વિતરિત કરવામાં આવે છે. એન્ક્રિપ્શન દરમિયાન, પાસવર્ડનો ઉપયોગ કરવામાં આવે છે, જે અનુગામી ડિક્રિપ્શન માટે જરૂરી છે. તમને વ્યક્તિગત ફાઇલો અને સમગ્ર ડિરેક્ટરીઓ સાથે બંને કામ કરવાની મંજૂરી આપે છે.

તેની લાઇબ્રેરી CBC મોડમાં Rijndael સિમેટ્રિક એન્ક્રિપ્શન અલ્ગોરિધમનો ઉપયોગ કરે છે. તે નોંધનીય છે કે બ્લોકનું કદ 256 બિટ્સ તરીકે પસંદ કરવામાં આવ્યું હતું - તેનાથી વિપરીત AES ધોરણમાં અપનાવવામાં આવ્યું હતું. બાદમાં, કદ 128 બિટ્સ સુધી મર્યાદિત છે.

અમારી કી PBKDF2 સ્ટાન્ડર્ડ અનુસાર જનરેટ થાય છે. આ કિસ્સામાં, ઉપયોગિતામાં દાખલ કરેલ શબ્દમાળામાંથી પાસવર્ડ SHA-256 છે. જે બાકી છે તે ડિક્રિપ્શન કી જનરેટ કરવા માટે આ સ્ટ્રિંગ શોધવાનું છે.

સારું, ચાલો આપણા પહેલાથી જ ડીકોડ કરેલા પર પાછા આવીએ પાસ કી. સંખ્યાઓના સમૂહ અને લખાણ 'asmodat' સાથેની તે રેખા યાદ છે? ચાલો ફોલ્ડર લોકર માટે પાસવર્ડ તરીકે શબ્દમાળાના પ્રથમ 20 બાઇટ્સનો ઉપયોગ કરવાનો પ્રયાસ કરીએ.

જુઓ, તે કામ કરે છે! કોડ શબ્દ આવ્યો, અને બધું સંપૂર્ણ રીતે સમજાયું. પાસવર્ડમાંના અક્ષરોને આધારે, તે ASCII માં ચોક્કસ શબ્દનું HEX પ્રતિનિધિત્વ છે. ચાલો કોડ વર્ડને ટેક્સ્ટ સ્વરૂપમાં દર્શાવવાનો પ્રયાસ કરીએ. અમને મળે છે'શેડોવોલ્ફ' પહેલેથી જ lycanthropy ના લક્ષણો અનુભવો છો?

ચાલો અસરગ્રસ્ત ફાઇલની રચના પર વધુ એક નજર કરીએ, હવે જાણીએ કે લોકર કેવી રીતે કાર્ય કરે છે:

• 02 00 00 00 - નામ એન્ક્રિપ્શન મોડ;
• 58 00 00 00 – એન્ક્રિપ્ટેડ અને base64 એન્કોડેડ ફાઇલ નામની લંબાઈ;
• 40 00 00 00 – સ્થાનાંતરિત હેડરનું કદ.

એન્ક્રિપ્ટેડ નામ પોતે અને ટ્રાન્સફર કરેલ હેડર અનુક્રમે લાલ અને પીળા રંગમાં પ્રકાશિત થાય છે.

ચોખા. 10. એનક્રિપ્ટેડ નામ લાલ રંગમાં પ્રકાશિત થાય છે, સ્થાનાંતરિત હેડર પીળા રંગમાં પ્રકાશિત થાય છે.

હવે હેક્સાડેસિમલ રજૂઆતમાં એન્ક્રિપ્ટેડ અને ડિક્રિપ્ટેડ નામોની સરખામણી કરીએ.

ડિક્રિપ્ટેડ ડેટાનું માળખું:

• 78 B9 B8 2E – ઉપયોગિતા દ્વારા બનાવેલ કચરો (4 બાઇટ્સ);
• 0С 00 00 00 – ડિક્રિપ્ટેડ નામની લંબાઈ (12 બાઇટ્સ);
• આગળ વાસ્તવિક ફાઇલ નામ અને જરૂરી બ્લોક લંબાઈ (પેડીંગ) માટે શૂન્ય સાથે પેડિંગ આવે છે.

ચોખા. 11. IMG_4114 વધુ સારું લાગે છે.

III. તારણો અને નિષ્કર્ષ

શરૂઆત પર પાછા. અમે જાણતા નથી કે Wulfric.Ransomware ના લેખકને શું પ્રેરણા મળી અને તેણે કયા ધ્યેયનો પીછો કર્યો. અલબત્ત, સરેરાશ વપરાશકર્તા માટે, આવા એન્ક્રિપ્ટરના કાર્યનું પરિણામ એક મોટી આપત્તિ જેવું લાગશે. ફાઇલો ખુલતી નથી. બધા નામો જતી રહે છે. સામાન્ય ચિત્રને બદલે, સ્ક્રીન પર એક વરુ છે. તેઓ તમને બિટકોઇન્સ વિશે વાંચવા માટે દબાણ કરે છે.

સાચું, આ વખતે, "ભયંકર એન્કોડર" ની આડમાં, ગેરવસૂલીનો આવા હાસ્યાસ્પદ અને મૂર્ખ પ્રયાસ છુપાયેલો હતો, જ્યાં હુમલાખોર તૈયાર પ્રોગ્રામ્સનો ઉપયોગ કરે છે અને ગુનાના સ્થળે જ ચાવીઓ છોડી દે છે.

માર્ગ દ્વારા, કીઓ વિશે. અમારી પાસે દૂષિત સ્ક્રિપ્ટ અથવા ટ્રોજન નથી જે અમને સમજવામાં મદદ કરી શકે કે આ કેવી રીતે થયું. પાસ કી - ચેપગ્રસ્ત પીસી પર ફાઇલ કઈ પદ્ધતિ દ્વારા દેખાય છે તે અજ્ઞાત રહે છે. પરંતુ, મને યાદ છે, લેખકે તેની નોંધમાં પાસવર્ડની વિશિષ્ટતાનો ઉલ્લેખ કર્યો છે. તેથી, ડિક્રિપ્શન માટેનો કોડ શબ્દ એટલો જ અનન્ય છે જેટલો યુઝરનેમ શેડો વુલ્ફ યુનિક છે :)

અને હજુ સુધી, છાયા વરુ, શા માટે અને શા માટે?

સોર્સ: www.habr.com