નકલી PayPal સાઇટ પરથી Nemty ransomware ને મળો

નેમ્ટી નામનું નવું રેન્સમવેર નેટવર્ક પર દેખાયું છે, જે ગ્રાન્ડક્રેબ અથવા બુરાનનું અનુગામી માનવામાં આવે છે. માલવેર મુખ્યત્વે નકલી PayPal વેબસાઇટ પરથી વિતરિત કરવામાં આવે છે અને તેમાં ઘણી રસપ્રદ સુવિધાઓ છે. આ રેન્સમવેર કેવી રીતે કામ કરે છે તેની વિગતો કટ હેઠળ છે.

વપરાશકર્તા દ્વારા શોધાયેલ નવું નેમ્ટી રેન્સમવેર nao_sec 7 સપ્ટેમ્બર, 2019. એક વેબસાઈટ દ્વારા માલવેરનું વિતરણ કરવામાં આવ્યું હતું પેપાલના વેશમાં, રેન્સમવેર માટે RIG શોષણ કીટ દ્વારા કમ્પ્યુટરમાં પ્રવેશવું પણ શક્ય છે. હુમલાખોરોએ ઉપયોગકર્તાને cashback.exe ફાઇલ ચલાવવા માટે દબાણ કરવા માટે સામાજિક ઇજનેરી પદ્ધતિઓનો ઉપયોગ કર્યો હતો, જે તેણે PayPal વેબસાઇટ પરથી કથિત રીતે પ્રાપ્ત કરી હતી. તે પણ વિચિત્ર છે કે નેમ્ટીએ સ્થાનિક પ્રોક્સી સેવા ટોર માટે ખોટા પોર્ટનો ઉલ્લેખ કર્યો છે, જે માલવેરને મોકલતા અટકાવે છે. સર્વર પર ડેટા. તેથી, જો તે ખંડણી ચૂકવવાનો અને હુમલાખોરો પાસેથી ડિક્રિપ્શનની રાહ જોવાનો ઇરાદો ધરાવતો હોય તો તેણે એન્ક્રિપ્ટેડ ફાઇલો ટોર નેટવર્ક પર અપલોડ કરવી પડશે.

નેમ્ટી વિશેના કેટલાક રસપ્રદ તથ્યો સૂચવે છે કે તે સમાન લોકો દ્વારા અથવા બુરાન અને ગ્રાન્ડક્રેબ સાથે સંકળાયેલા સાયબર અપરાધીઓ દ્વારા વિકસાવવામાં આવ્યું હતું.

• ગૅન્ડક્રેબની જેમ, નેમ્ટી પાસે ઇસ્ટર એગ છે - રશિયન પ્રમુખ વ્લાદિમીર પુતિનના અશ્લીલ મજાક સાથેના ફોટાની લિંક. લેગસી GandCrab ransomware માં સમાન ટેક્સ્ટ સાથેની છબી હતી.
• બંને પ્રોગ્રામની ભાષા કલાકૃતિઓ સમાન રશિયન બોલતા લેખકો તરફ નિર્દેશ કરે છે.
• 8092-બીટ RSA કીનો ઉપયોગ કરવા માટે આ પ્રથમ રેન્સમવેર છે. જો કે આમાં કોઈ અર્થ નથી: 1024-બીટ કી હેકિંગ સામે રક્ષણ આપવા માટે પૂરતી છે.
• બુરાનની જેમ, રેન્સમવેર ઓબ્જેક્ટ પાસ્કલમાં લખાયેલું છે અને બોરલેન્ડ ડેલ્ફીમાં સંકલિત છે.

સ્થિર વિશ્લેષણ

દૂષિત કોડનો અમલ ચાર તબક્કામાં થાય છે. પ્રથમ પગલું એ 32 બાઈટના કદ સાથે MS Windows હેઠળ PE1198936 એક્ઝિક્યુટેબલ ફાઇલ cashback.exe ચલાવવાનું છે. તેનો કોડ વિઝ્યુઅલ C++ માં લખવામાં આવ્યો હતો અને ઓક્ટોબર 14, 2013 ના રોજ સંકલિત કરવામાં આવ્યો હતો. તેમાં એક આર્કાઇવ છે જે જ્યારે તમે cashback.exe ચલાવો છો ત્યારે આપમેળે અનપેક થઈ જાય છે. .cab આર્કાઇવમાંથી ફાઇલો મેળવવા માટે સોફ્ટવેર Cabinet.dll લાઇબ્રેરી અને તેના કાર્યો FDICreate(), FDIDestroy() અને અન્યનો ઉપયોગ કરે છે.

SHA-256: A127323192ABED93AED53648D03CA84DE3B5B006B641033EB46A520B7A3C16FC

આર્કાઇવને અનપેક કર્યા પછી, ત્રણ ફાઇલો દેખાશે.

આગળ, temp.exe લોંચ કરવામાં આવે છે, 32 બાઈટના કદ સાથે MS Windows હેઠળ PE307200 એક્ઝિક્યુટેબલ ફાઇલ. કોડ વિઝ્યુઅલ C++ માં લખાયેલ છે અને MPRESS પેકર સાથે પેક કરેલ છે, જે UPX જેવું જ પેકર છે.

SHA-256: EBDBA4B1D1DE65A1C6B14012B674E7FA7F8C5F5A8A5A2A9C3C338F02DD726AAD

આગળનું પગલું ironman.exe છે. એકવાર લોંચ થયા પછી, temp.exe એમ્બેડેડ ડેટાને ટેમ્પમાં ડિક્રિપ્ટ કરે છે અને તેનું નામ બદલીને ironman.exe કરે છે, જે 32 બાઈટ PE544768 એક્ઝિક્યુટેબલ ફાઇલ છે. કોડ બોરલેન્ડ ડેલ્ફીમાં સંકલિત કરવામાં આવ્યો છે.

SHA-256: 2C41B93ADD9AC5080A12BF93966470F8AB3BDE003001492A10F63758867F2A88

છેલ્લું પગલું ironman.exe ફાઇલને પુનઃપ્રારંભ કરવાનું છે. રનટાઇમ વખતે, તે તેના કોડને રૂપાંતરિત કરે છે અને મેમરીમાંથી જ ચાલે છે. ironman.exe નું આ સંસ્કરણ દૂષિત છે અને એન્ક્રિપ્શન માટે જવાબદાર છે.

હુમલો વેક્ટર

હાલમાં, નેમ્ટી રેન્સમવેર વેબસાઇટ pp-back.info દ્વારા વિતરિત કરવામાં આવે છે.

ચેપની સંપૂર્ણ સાંકળ પર જોઈ શકાય છે app.any.run સેન્ડબોક્સ.

સ્થાપન

Cashback.exe - હુમલાની શરૂઆત. પહેલેથી જ ઉલ્લેખ કર્યો છે તેમ, cashback.exe તેમાં સમાવિષ્ટ .cab ફાઇલને અનપેક કરે છે. તે પછી %TEMP%IXxxx.TMP ફોર્મનું TMP4351$.TMP ફોલ્ડર બનાવે છે, જ્યાં xxx એ 001 થી 999 સુધીની સંખ્યા છે.

આગળ, રજિસ્ટ્રી કી ઇન્સ્ટોલ કરેલી છે, જે આના જેવી લાગે છે:

[HKLMSOFTWAREWOW6432NodeMicrosoftWindowsCurrentVersionRunOncewextract_cleanup0]
“rundll32.exe” “C:Windowssystem32advpack.dll,DelNodeRunDLL32 “C:UsersMALWAR~1AppDataLocalTempIXPxxx.TMP””

તેનો ઉપયોગ અનપેક્ડ ફાઇલોને કાઢી નાખવા માટે થાય છે. અંતે, cashback.exe temp.exe પ્રક્રિયા શરૂ કરે છે.

Temp.exe ચેપ શૃંખલાનો બીજો તબક્કો છે

આ cashback.exe ફાઇલ દ્વારા શરૂ કરવામાં આવેલી પ્રક્રિયા છે, જે વાયરસના અમલીકરણનું બીજું પગલું છે. તે AutoHotKey ડાઉનલોડ કરવાનો પ્રયાસ કરે છે, જે Windows પર સ્ક્રિપ્ટ ચલાવવા માટેનું એક સાધન છે અને PE ફાઇલના સંસાધન વિભાગમાં સ્થિત WindowSpy.ahk સ્ક્રિપ્ટ ચલાવવાનો પ્રયાસ કરે છે.

WindowSpy.ahk સ્ક્રિપ્ટ RC4 અલ્ગોરિધમ અને પાસવર્ડ IwantAcake નો ઉપયોગ કરીને ironman.exe માં ટેમ્પ ફાઇલને ડિક્રિપ્ટ કરે છે. પાસવર્ડમાંથી કી MD5 હેશિંગ અલ્ગોરિધમનો ઉપયોગ કરીને મેળવવામાં આવે છે.

temp.exe પછી ironman.exe પ્રક્રિયાને કૉલ કરે છે.

Ironman.exe - ત્રીજું પગલું

Ironman.exe iron.bmp ફાઇલની સામગ્રીઓ વાંચે છે અને ક્રિપ્ટોલોકર સાથે iron.txt ફાઇલ બનાવે છે જે આગળ લોન્ચ થશે.

આ પછી, વાયરસ iron.txt ને મેમરીમાં લોડ કરે છે અને તેને ironman.exe તરીકે ફરીથી શરૂ કરે છે. આ પછી, iron.txt કાઢી નાખવામાં આવે છે.

ironman.exe એ NEMTY રેન્સમવેરનો મુખ્ય ભાગ છે, જે અસરગ્રસ્ત કમ્પ્યુટર પર ફાઇલોને એન્ક્રિપ્ટ કરે છે. માલવેર નફરત નામનું મ્યુટેક્સ બનાવે છે.

તે જે કરે છે તે પ્રથમ વસ્તુ કમ્પ્યુટરનું ભૌગોલિક સ્થાન નક્કી કરે છે. Nemty બ્રાઉઝર ખોલે છે અને IP ચાલુ કરે છે http://api.ipify.org. સાઇટ પર api.db-ip.com/v2/free[IP]/countryName પ્રાપ્ત થયેલા IP પરથી દેશ નક્કી કરવામાં આવે છે, અને જો કમ્પ્યુટર નીચે સૂચિબદ્ધ પ્રદેશોમાંથી એકમાં સ્થિત હોય, તો માલવેર કોડનો અમલ અટકે છે:

• રશિયા
• બેલારુસ
• યુક્રેન
• કઝાકિસ્તાન
• તાજિકિસ્તાન

મોટે ભાગે, વિકાસકર્તાઓ તેમના રહેઠાણના દેશોમાં કાયદા અમલીકરણ એજન્સીઓનું ધ્યાન આકર્ષિત કરવા માંગતા નથી, અને તેથી તેમના "ઘર" અધિકારક્ષેત્રમાં ફાઇલોને એન્ક્રિપ્ટ કરતા નથી.

જો પીડિતનું IP સરનામું ઉપરની સૂચિમાં ન હોય, તો વાયરસ વપરાશકર્તાની માહિતીને એન્ક્રિપ્ટ કરે છે.

ફાઇલ પુનઃપ્રાપ્તિને રોકવા માટે, તેમની છાયા નકલો કાઢી નાખવામાં આવે છે:

તે પછી તે ફાઇલો અને ફોલ્ડર્સની સૂચિ બનાવે છે જે એનક્રિપ્ટ કરવામાં આવશે નહીં, તેમજ ફાઇલ એક્સ્ટેંશનની સૂચિ બનાવે છે.

• વિન્ડોઝ
• $RECYCLE.BIN
• આરએસએ
• NTDETECT.COM
• એનટીએલડીઆર
• MSDOS.SYS
• IO.SYS
• boot.ini AUTOEXEC.BAT ntuser.dat
• ડેસ્કટ .પ.એન.આઇ.
• SYS રૂપરેખા.
• બુટસેકટ.બેક
• બુટમગ્રે
• પ્રોગ્રામ ડેટા
• એપ્લિકેશન માહિતી
• ઓસોફ્ટ
• સામાન્ય ફાઇલો

log LOG CAB cab CMD cmd COM com cpl
CPL exe EXE ini INI dll DDL lnk LNK url
URL ttf TTF DECRYPT.txt NEMTY 

અસ્પષ્ટતા

URLs અને એમ્બેડેડ રૂપરેખાંકન ડેટાને છુપાવવા માટે, Nemty fuckav કીવર્ડ સાથે base64 અને RC4 એન્કોડિંગ અલ્ગોરિધમનો ઉપયોગ કરે છે.

CryptStringToBinary નો ઉપયોગ કરીને ડિક્રિપ્શન પ્રક્રિયા નીચે મુજબ છે

એન્ક્રિપ્શન

નેમ્ટી થ્રી-લેયર એન્ક્રિપ્શનનો ઉપયોગ કરે છે:

• ફાઇલો માટે AES-128-CBC. 128-બીટ AES કી અવ્યવસ્થિત રીતે જનરેટ થાય છે અને બધી ફાઇલો માટે સમાન ઉપયોગ થાય છે. તે વપરાશકર્તાના કમ્પ્યુટર પર રૂપરેખાંકન ફાઇલમાં સંગ્રહિત છે. IV દરેક ફાઇલ માટે રેન્ડમલી જનરેટ થાય છે અને એનક્રિપ્ટેડ ફાઇલમાં સંગ્રહિત થાય છે.
• ફાઇલ એન્ક્રિપ્શન માટે RSA-2048 IV. સત્ર માટે કી જોડી જનરેટ થાય છે. સત્ર માટેની ખાનગી કી વપરાશકર્તાના કમ્પ્યુટર પર રૂપરેખાંકન ફાઇલમાં સંગ્રહિત થાય છે.
• RSA-8192. માસ્ટર પબ્લિક કી પ્રોગ્રામમાં બનેલી છે અને તેનો ઉપયોગ રૂપરેખાંકન ફાઇલને એન્ક્રિપ્ટ કરવા માટે થાય છે, જે RSA-2048 સત્ર માટે AES કી અને ગુપ્ત કીને સંગ્રહિત કરે છે.
• નેમ્ટી પ્રથમ રેન્ડમ ડેટાના 32 બાઇટ્સ જનરેટ કરે છે. પ્રથમ 16 બાઇટ્સનો ઉપયોગ AES-128-CBC કી તરીકે થાય છે.

બીજું એન્ક્રિપ્શન અલ્ગોરિધમ RSA-2048 છે. કી જોડી CryptGenKey() ફંક્શન દ્વારા જનરેટ થાય છે અને CryptImportKey() ફંક્શન દ્વારા આયાત કરવામાં આવે છે.

એકવાર સત્ર માટે કી જોડી જનરેટ થઈ જાય, પછી સાર્વજનિક કી MS ક્રિપ્ટોગ્રાફિક સેવા પ્રદાતામાં આયાત કરવામાં આવે છે.

સત્ર માટે જનરેટ કરેલ સાર્વજનિક કીનું ઉદાહરણ:

આગળ, ખાનગી કી CSP માં આયાત કરવામાં આવે છે.

સત્ર માટે જનરેટ કરેલી ખાનગી કીનું ઉદાહરણ:

અને છેલ્લે આવે છે RSA-8192. મુખ્ય સાર્વજનિક કી PE ફાઇલના .ડેટા વિભાગમાં એનક્રિપ્ટેડ સ્વરૂપમાં (બેઝ64 + RC4) સંગ્રહિત થાય છે.

Fuckav પાસવર્ડ સાથે base8192 ડીકોડિંગ અને RC64 ડિક્રિપ્શન પછીની RSA-4 કી આના જેવી દેખાય છે.

પરિણામે, સમગ્ર એન્ક્રિપ્શન પ્રક્રિયા આના જેવી દેખાય છે:

• 128-બીટ AES કી જનરેટ કરો જેનો ઉપયોગ બધી ફાઇલોને એન્ક્રિપ્ટ કરવા માટે કરવામાં આવશે.
• દરેક ફાઇલ માટે IV બનાવો.
• RSA-2048 સત્ર માટે કી જોડી બનાવી રહ્યા છીએ.
• base8192 અને RC64 નો ઉપયોગ કરીને હાલની RSA-4 કીનું ડિક્રિપ્શન.
• પ્રથમ પગલાથી AES-128-CBC અલ્ગોરિધમનો ઉપયોગ કરીને ફાઇલ સામગ્રીઓને એન્ક્રિપ્ટ કરો.
• RSA-2048 પબ્લિક કી અને base64 એન્કોડિંગનો ઉપયોગ કરીને IV એન્ક્રિપ્શન.
• દરેક એન્ક્રિપ્ટેડ ફાઇલના અંતમાં એન્ક્રિપ્ટેડ IV ઉમેરવું.
• રૂપરેખામાં AES કી અને RSA-2048 સત્ર ખાનગી કી ઉમેરવી.
• વિભાગમાં વર્ણવેલ રૂપરેખાંકન ડેટા માહિતીનો સંગ્રહ ચેપગ્રસ્ત કમ્પ્યુટર વિશે મુખ્ય જાહેર કી RSA-8192 નો ઉપયોગ કરીને એનક્રિપ્ટ થયેલ છે.
• એન્ક્રિપ્ટેડ ફાઇલ આના જેવી દેખાય છે:

એન્ક્રિપ્ટેડ ફાઇલોનું ઉદાહરણ:

સંક્રમિત કોમ્પ્યુટર વિશે માહિતી એકઠી કરવી

રેન્સમવેર ચેપગ્રસ્ત ફાઇલોને ડિક્રિપ્ટ કરવા માટે કી ભેગી કરે છે, જેથી હુમલાખોર ખરેખર ડિક્રિપ્ટર બનાવી શકે. વધુમાં, Nemty વપરાશકર્તાનામ, કોમ્પ્યુટર નામ, હાર્ડવેર પ્રોફાઈલ જેવા યુઝર ડેટા એકત્ર કરે છે.

તે ચેપગ્રસ્ત કમ્પ્યુટરની ડ્રાઈવો વિશે માહિતી એકત્રિત કરવા માટે GetLogicalDrives(), GetFreeSpace(), GetDriveType() ફંક્શનને કૉલ કરે છે.

એકત્રિત કરેલી માહિતી રૂપરેખાંકન ફાઇલમાં સંગ્રહિત થાય છે. શબ્દમાળાને ડીકોડ કર્યા પછી, અમને રૂપરેખાંકન ફાઇલમાં પરિમાણોની સૂચિ મળે છે:

ચેપગ્રસ્ત કમ્પ્યુટરનું ઉદાહરણ ગોઠવણી:

રૂપરેખાંકન નમૂનાને નીચે પ્રમાણે રજૂ કરી શકાય છે:

{"સામાન્ય": {"IP":"[IP]", "દેશ":"[દેશ]", "કમ્પ્યુટરનામ":"[કોમ્પ્યુટરનામ]", "વપરાશકર્તા નામ":"[વપરાશકર્તા નામ]", "ઓએસ": "[OS]", "isRU":false, "version":"1.4", "CompID":"{[CompID]}", "FileID":"_NEMTY_[FileID]_", "UserID":"[ UserID]", "key":"[key]", "pr_key":"[pr_key]

Nemty %USER%/_NEMTY_.nemty ફાઇલમાં JSON ફોર્મેટમાં એકત્રિત ડેટા સ્ટોર કરે છે. FileID 7 અક્ષર લાંબો છે અને રેન્ડમલી જનરેટ થાય છે. ઉદાહરણ તરીકે: _NEMTY_tgdLYrd_.nemty. એન્ક્રિપ્ટેડ ફાઇલના અંતમાં ફાઇલઆઇડી પણ જોડવામાં આવે છે.

ખંડણી સંદેશ

ફાઇલોને એન્ક્રિપ્ટ કર્યા પછી, ફાઇલ _NEMTY_[FileID]-DECRYPT.txt ડેસ્કટોપ પર નીચેની સામગ્રી સાથે દેખાય છે:

ફાઇલના અંતે ચેપગ્રસ્ત કમ્પ્યુટર વિશે એનક્રિપ્ટેડ માહિતી છે.

નેટવર્ક સંચાર

ironman.exe પ્રક્રિયા સરનામું પરથી ટોર બ્રાઉઝર વિતરણ ડાઉનલોડ કરે છે https://dist.torproject.org/torbrowser/8.5.4/tor-win32-0.4.0.5.zip અને તેને ઇન્સ્ટોલ કરવાનો પ્રયાસ કરે છે.

Nemty પછી 127.0.0.1:9050 પર રૂપરેખાંકન ડેટા મોકલવાનો પ્રયાસ કરે છે, જ્યાં તે કાર્યકારી ટોર બ્રાઉઝર પ્રોક્સી શોધવાની અપેક્ષા રાખે છે. જો કે, મૂળભૂત રીતે ટોર પ્રોક્સી પોર્ટ 9150 પર સાંભળે છે, અને પોર્ટ 9050 નો ઉપયોગ Linux પર ટોર ડિમન અથવા Windows પર એક્સપર્ટ બંડલ દ્વારા થાય છે. આમ, હુમલાખોરના સર્વર પર કોઈ ડેટા મોકલવામાં આવતો નથી. તેના બદલે, વપરાશકર્તા ખંડણી સંદેશમાં આપેલી લિંક દ્વારા ટોર ડિક્રિપ્શન સેવાની મુલાકાત લઈને મેન્યુઅલી રૂપરેખાંકન ફાઇલ ડાઉનલોડ કરી શકે છે.

ટોર પ્રોક્સી સાથે કનેક્ટ થઈ રહ્યું છે:

HTTP GET 127.0.0.1:9050/public/gate?data= ને વિનંતી બનાવે છે

અહીં તમે ખુલ્લા TCP પોર્ટ્સ જોઈ શકો છો જેનો ઉપયોગ TORlocal પ્રોક્સી દ્વારા કરવામાં આવે છે:

ટોર નેટવર્ક પર નેમ્ટી ડિક્રિપ્શન સેવા:

ડિક્રિપ્શન સેવાને ચકાસવા માટે તમે એન્ક્રિપ્ટેડ ફોટો (jpg, png, bmp) અપલોડ કરી શકો છો.

આ પછી, હુમલાખોર ખંડણી ચૂકવવાનું કહે છે. જો ચુકવણી ન થાય તો કિંમત બમણી કરવામાં આવે છે.

નિષ્કર્ષ

આ ક્ષણે, ખંડણી ચૂકવ્યા વિના Nemty દ્વારા એન્ક્રિપ્ટ કરેલી ફાઇલોને ડિક્રિપ્ટ કરવી શક્ય નથી. રેન્સમવેરના આ સંસ્કરણમાં બુરાન રેન્સમવેર અને જૂના GandCrab: બોરલેન્ડ ડેલ્ફીમાં સંકલન અને સમાન ટેક્સ્ટ સાથેની છબીઓ સાથે સામાન્ય લક્ષણો છે. વધુમાં, આ પહેલું એન્ક્રિપ્ટર છે જે 8092-બીટ RSA કીનો ઉપયોગ કરે છે, જે ફરીથી, કોઈ અર્થમાં નથી, કારણ કે 1024-બીટ કી રક્ષણ માટે પૂરતી છે. છેલ્લે, અને રસપ્રદ રીતે, તે સ્થાનિક ટોર પ્રોક્સી સેવા માટે ખોટા પોર્ટનો ઉપયોગ કરવાનો પ્રયાસ કરે છે.

જો કે, ઉકેલો એક્રોનિસ બેકઅપ и એક્રોનિસ ટ્રુ છબી નેમ્ટી રેન્સમવેરને યુઝર પીસી અને ડેટા સુધી પહોંચતા અટકાવે છે અને પ્રદાતાઓ તેમના ક્લાયંટને આની સાથે સુરક્ષિત કરી શકે છે. એક્રોનિસ બેકઅપ ક્લાઉડ... સંપૂર્ણ સાયબર પ્રોટેક્શન માત્ર બેકઅપ જ નહીં, પણ તેનો ઉપયોગ કરીને સુરક્ષા પણ પૂરી પાડે છે એક્રોનિસ એક્ટિવ પ્રોટેક્શન, આર્ટિફિશિયલ ઇન્ટેલિજન્સ અને બિહેવિયરલ હ્યુરિસ્ટિક્સ પર આધારિત એક ખાસ ટેક્નોલોજી કે જે તમને હજુ સુધી અજાણ્યા માલવેરને બેઅસર કરવા દે છે.

સોર્સ: www.habr.com