रयूक रैनसमवेयर कैसे काम करता है, जो व्यवसायों पर हमला करता है

रयूक पिछले कुछ वर्षों में सबसे प्रसिद्ध रैंसमवेयर विकल्पों में से एक है। चूंकि यह पहली बार 2018 की गर्मियों में सामने आया था, इसलिए इसने संग्रह किया है पीड़ितों की प्रभावशाली सूची, विशेषकर कारोबारी माहौल में, जो इसके हमलों का मुख्य लक्ष्य है।

1. सामान्य जानकारी

इस दस्तावेज़ में रयूक रैंसमवेयर वैरिएंट का विश्लेषण है, साथ ही सिस्टम में मैलवेयर लोड करने के लिए जिम्मेदार लोडर भी है।

रयूक रैनसमवेयर पहली बार 2018 की गर्मियों में सामने आया था। रयूक और अन्य रैंसमवेयर के बीच एक अंतर यह है कि इसका उद्देश्य कॉर्पोरेट वातावरण पर हमला करना है।

2019 के मध्य में साइबर क्रिमिनल समूहों ने इस रैंसमवेयर का उपयोग करके बड़ी संख्या में स्पेनिश कंपनियों पर हमला किया।

चावल। 1: रयूक रैनसमवेयर हमले के संबंध में एल कॉन्फिडेंशियल से अंश [1]

चावल। 2: रयूक रैंसमवेयर का उपयोग करके किए गए हमले के बारे में एल पेस का अंश [2]
इस साल रयूक ने विभिन्न देशों में बड़ी संख्या में कंपनियों पर हमला किया है। जैसा कि आप नीचे दिए गए आंकड़ों में देख सकते हैं, जर्मनी, चीन, अल्जीरिया और भारत सबसे अधिक प्रभावित हुए।

साइबर हमलों की संख्या की तुलना करके, हम देख सकते हैं कि रयूक ने लाखों उपयोगकर्ताओं को प्रभावित किया है और बड़ी मात्रा में डेटा से समझौता किया है, जिसके परिणामस्वरूप गंभीर आर्थिक नुकसान हुआ है।

चावल। 3: रयूक की वैश्विक गतिविधि का चित्रण।

चावल। 4: रयूक से सर्वाधिक प्रभावित 16 देश

चावल। 5: रयूक रैंसमवेयर द्वारा हमला किए गए उपयोगकर्ताओं की संख्या (लाखों में)

ऐसे खतरों के सामान्य संचालन सिद्धांत के अनुसार, यह रैंसमवेयर, एन्क्रिप्शन पूरा होने के बाद, पीड़ित को फिरौती की अधिसूचना दिखाता है जिसे एन्क्रिप्टेड फ़ाइलों तक पहुंच बहाल करने के लिए निर्दिष्ट पते पर बिटकॉइन में भुगतान करना होगा।

यह मैलवेयर पहली बार पेश किए जाने के बाद से बदल गया है।
इस दस्तावेज़ में विश्लेषण किए गए इस खतरे के प्रकार की खोज जनवरी 2020 में एक हमले के प्रयास के दौरान की गई थी।

इसकी जटिलता के कारण, इस मैलवेयर को अक्सर संगठित साइबर अपराधी समूहों को जिम्मेदार ठहराया जाता है, जिन्हें एपीटी समूह भी कहा जाता है।

रयूक कोड के एक हिस्से में एक अन्य प्रसिद्ध रैंसमवेयर, हर्मीस के कोड और संरचना में उल्लेखनीय समानता है, जिसके साथ वे कई समान कार्य साझा करते हैं। यही कारण है कि रयूक शुरू में उत्तर कोरियाई समूह लाजर से जुड़ा था, जिस पर उस समय हर्मीस रैंसमवेयर के पीछे होने का संदेह था।

क्राउडस्ट्राइक की फाल्कन एक्स सेवा ने बाद में नोट किया कि रयूक वास्तव में विजार्ड स्पाइडर समूह द्वारा बनाया गया था [4]।

इस धारणा का समर्थन करने के लिए कुछ सबूत हैं। सबसे पहले, इस रैंसमवेयर का विज्ञापन शोषण.इन वेबसाइट पर किया गया था, जो एक प्रसिद्ध रूसी मैलवेयर बाज़ार है और पहले कुछ रूसी एपीटी समूहों के साथ जुड़ा हुआ है।
यह तथ्य इस सिद्धांत को खारिज करता है कि रयूक को लाजर एपीटी समूह द्वारा विकसित किया जा सकता था, क्योंकि यह समूह के संचालन के तरीके से मेल नहीं खाता।

इसके अलावा, रयूक को एक रैंसमवेयर के रूप में विज्ञापित किया गया था जो रूसी, यूक्रेनी और बेलारूसी सिस्टम पर काम नहीं करेगा। यह व्यवहार रयूक के कुछ संस्करणों में पाए जाने वाले एक फीचर द्वारा निर्धारित किया जाता है, जहां यह उस सिस्टम की भाषा की जांच करता है जिस पर रैंसमवेयर चल रहा है और यदि सिस्टम में रूसी, यूक्रेनी या बेलारूसी भाषा है तो उसे चलने से रोकता है। अंत में, विजार्ड स्पाइडर टीम द्वारा हैक की गई मशीन के विशेषज्ञ विश्लेषण से कई "कलाकृतियों" का पता चला, जिनका कथित तौर पर हर्मीस रैंसमवेयर के एक संस्करण के रूप में रयूक के विकास में उपयोग किया गया था।

दूसरी ओर, विशेषज्ञ गैब्रिएला निकोलाओ और लुसियानो मार्टिंस ने सुझाव दिया कि रैंसमवेयर एपीटी समूह क्रिप्टोटेक [5] द्वारा विकसित किया गया हो सकता है।
यह इस तथ्य से पता चलता है कि रयूक की उपस्थिति से कई महीने पहले, इस समूह ने उसी साइट के मंच पर जानकारी पोस्ट की थी कि उन्होंने हर्मीस रैंसमवेयर का एक नया संस्करण विकसित किया था।

कई फोरम उपयोगकर्ताओं ने सवाल किया कि क्या क्रिप्टोटेक ने वास्तव में रयूक बनाया है। तब समूह ने अपना बचाव किया और कहा कि उसके पास इस बात के सबूत हैं कि उन्होंने 100% रैंसमवेयर विकसित कर लिया है।

2. विशेषताएँ

हम बूटलोडर से शुरू करते हैं, जिसका काम उस सिस्टम की पहचान करना है जिस पर वह मौजूद है ताकि रयूक रैंसमवेयर का "सही" संस्करण लॉन्च किया जा सके।
बूटलोडर हैश इस प्रकार है:

MD5 A73130B0E379A989CBA3D695A157A495
SHA256 EF231EE1A2481B7E627921468E79BB4369CCFAEB19A575748DD2B664ABC4F469

इस डाउनलोडर की एक विशेषता यह है कि इसमें कोई मेटाडेटा नहीं है, अर्थात। इस मैलवेयर के रचनाकारों ने इसमें कोई जानकारी शामिल नहीं की है।

कभी-कभी वे उपयोगकर्ता को यह सोचने के लिए गलत डेटा शामिल करते हैं कि वे एक वैध एप्लिकेशन चला रहे हैं। हालाँकि, जैसा कि हम बाद में देखेंगे, यदि संक्रमण में उपयोगकर्ता की सहभागिता शामिल नहीं है (जैसा कि इस रैंसमवेयर के मामले में है), तो हमलावर मेटाडेटा का उपयोग करना आवश्यक नहीं समझते हैं।

चावल। 6: नमूना मेटा डेटा

नमूना 32-बिट प्रारूप में संकलित किया गया था ताकि यह 32-बिट और 64-बिट सिस्टम दोनों पर चल सके।

3. प्रवेश वेक्टर

रयूक को डाउनलोड करने और चलाने वाला नमूना एक दूरस्थ कनेक्शन के माध्यम से हमारे सिस्टम में प्रवेश किया, और एक्सेस पैरामीटर प्रारंभिक आरडीपी हमले के माध्यम से प्राप्त किए गए थे।

चावल। 7: आक्रमण रजिस्टर

हमलावर दूर से सिस्टम में लॉग इन करने में कामयाब रहा। उसके बाद, उन्होंने हमारे नमूने के साथ एक निष्पादन योग्य फ़ाइल बनाई।
इस निष्पादन योग्य फ़ाइल को चलने से पहले एक एंटीवायरस समाधान द्वारा अवरुद्ध कर दिया गया था।

चावल। 8: पैटर्न लॉक

चावल। 9: पैटर्न लॉक

जब दुर्भावनापूर्ण फ़ाइल को ब्लॉक कर दिया गया, तो हमलावर ने निष्पादन योग्य फ़ाइल का एक एन्क्रिप्टेड संस्करण डाउनलोड करने का प्रयास किया, जिसे भी ब्लॉक कर दिया गया।

चावल। 10: नमूनों का सेट जिसे हमलावर ने चलाने का प्रयास किया

अंत में, उसने एन्क्रिप्टेड कंसोल के माध्यम से एक और दुर्भावनापूर्ण फ़ाइल डाउनलोड करने का प्रयास किया
एंटीवायरस सुरक्षा को बायपास करने के लिए पॉवरशेल। लेकिन उसे भी ब्लॉक कर दिया गया.

चावल। 11: दुर्भावनापूर्ण सामग्री वाला पावरशेल ब्लॉक किया गया


चावल। 12: दुर्भावनापूर्ण सामग्री वाला पावरशेल ब्लॉक किया गया

4. लोडर

जब यह निष्पादित होता है, तो यह फ़ोल्डर में एक ReadMe फ़ाइल लिखता है % अस्थायी%, जो रयूक के लिए विशिष्ट है। यह फ़ाइल एक फिरौती नोट है जिसमें प्रोटोनमेल डोमेन में एक ईमेल पता है, जो इस मैलवेयर परिवार में काफी आम है: [ईमेल संरक्षित]

चावल। 13: फिरौती की मांग

जब बूटलोडर चल रहा होता है, तो आप देख सकते हैं कि यह यादृच्छिक नामों के साथ कई निष्पादन योग्य फ़ाइलें लॉन्च करता है। वे एक छिपे हुए फ़ोल्डर में संग्रहीत हैं जनता, लेकिन यदि विकल्प ऑपरेटिंग सिस्टम में सक्रिय नहीं है "छिपी हुई फ़ाइलों और फ़ोल्डरों को दर्शाएं", तो वे छिपे रहेंगे। इसके अलावा, ये फ़ाइलें मूल फ़ाइल के विपरीत 64-बिट हैं, जो कि 32-बिट है।

चावल। 14: नमूने द्वारा लॉन्च की गई निष्पादन योग्य फ़ाइलें

जैसा कि आप ऊपर की छवि में देख सकते हैं, रयूक ने icacls.exe लॉन्च किया है, जिसका उपयोग सभी एसीएल (एक्सेस कंट्रोल लिस्ट) को संशोधित करने के लिए किया जाएगा, इस प्रकार झंडे की पहुंच और संशोधन सुनिश्चित किया जाएगा।

यह सभी उपयोगकर्ताओं को त्रुटियों (/C) की परवाह किए बिना और कोई संदेश दिखाए बिना (/T) डिवाइस पर सभी फ़ाइलों तक पूर्ण पहुंच प्राप्त करता है (/Q)।

चावल। 15: नमूने द्वारा लॉन्च किए गए icacls.exe के निष्पादन पैरामीटर

यह ध्यान रखना महत्वपूर्ण है कि रयूक जाँचता है कि आप विंडोज़ का कौन सा संस्करण चला रहे हैं। इसके लिए वह
का उपयोग करके संस्करण जांच करता है GetVersionExW, जिसमें यह झंडे के मूल्य की जाँच करता है एलपीसंस्करणसूचनायह दर्शाता है कि विंडोज़ का वर्तमान संस्करण नया है या नहीं Windows XP.

इस पर निर्भर करते हुए कि आप Windows XP के बाद का संस्करण चला रहे हैं, बूट लोडर स्थानीय उपयोगकर्ता फ़ोल्डर में लिखेगा - इस मामले में फ़ोल्डर में %जनता%.

चावल। 17: ऑपरेटिंग सिस्टम संस्करण की जाँच करना

लिखी जा रही फ़ाइल रयूक है। फिर यह इसे चलाता है, अपने स्वयं के पते को एक पैरामीटर के रूप में पास करता है।

चावल। 18: ShellExecute के माध्यम से रयूक को निष्पादित करें

पहली चीज़ जो रयूक करता है वह है इनपुट पैरामीटर प्राप्त करना। इस बार दो इनपुट पैरामीटर हैं (निष्पादन योग्य स्वयं और ड्रॉपर पता) जिनका उपयोग इसके स्वयं के निशान को हटाने के लिए किया जाता है।

चावल। 19: एक प्रक्रिया बनाना

आप यह भी देख सकते हैं कि एक बार जब यह अपने निष्पादनयोग्य को चला लेता है, तो यह स्वयं को हटा देता है, इस प्रकार उस फ़ोल्डर में अपनी उपस्थिति का कोई निशान नहीं छोड़ता है जहां इसे निष्पादित किया गया था।

चावल। 20: किसी फ़ाइल को हटाना

5. रयूक

5.1 उपस्थिति
रयूक, अन्य मैलवेयर की तरह, यथासंभव लंबे समय तक सिस्टम पर बने रहने का प्रयास करता है। जैसा कि ऊपर दिखाया गया है, इस लक्ष्य को प्राप्त करने का एक तरीका गुप्त रूप से निष्पादन योग्य फ़ाइलें बनाना और चलाना है। ऐसा करने के लिए, रजिस्ट्री कुंजी को बदलना सबसे आम अभ्यास है वर्तमानसंस्करणरन.
इस मामले में, आप देख सकते हैं कि इस उद्देश्य के लिए पहली फ़ाइल लॉन्च की जानी है VWjRF.exe
(फ़ाइल नाम यादृच्छिक रूप से उत्पन्न होता है) लॉन्च होता है cmd.exe.

चावल। 21: VWjRF.exe निष्पादित करना

फिर कमांड दर्ज करें भागो नाम के साथ "svchos"। इस प्रकार, यदि आप किसी भी समय रजिस्ट्री कुंजियों की जांच करना चाहते हैं, तो आप svchost के साथ इस नाम की समानता को देखते हुए, इस परिवर्तन को आसानी से याद कर सकते हैं। इस कुंजी के लिए धन्यवाद, रयूक सिस्टम में अपनी उपस्थिति सुनिश्चित करता है। यदि सिस्टम ने ऐसा नहीं किया है अभी तक संक्रमित है, तो जब आप सिस्टम को रीबूट करेंगे, तो निष्पादन योग्य पुनः प्रयास करेगा।

चावल। 22: नमूना रजिस्ट्री कुंजी में उपस्थिति सुनिश्चित करता है

हम यह भी देख सकते हैं कि यह निष्पादन योग्य दो सेवाओं को रोकता है:
"ऑडियोएंडप्वाइंटबिल्डर", जैसा कि इसके नाम से पता चलता है, सिस्टम ऑडियो से मेल खाता है,

चावल। 23: नमूना सिस्टम ऑडियो सेवा बंद कर देता है

и सैम्स, जो एक खाता प्रबंधन सेवा है। इन दोनों सेवाओं को रोकना रयूक की विशेषता है। इस मामले में, यदि सिस्टम एसआईईएम सिस्टम से जुड़ा है, तो रैंसमवेयर भेजना बंद करने का प्रयास करता है सिएम कोई चेतावनी. इस तरह, वह अपने अगले कदमों की सुरक्षा करता है क्योंकि कुछ एसएएम सेवाएं रयूक को निष्पादित करने के बाद अपना काम सही ढंग से शुरू नहीं कर पाएंगी।

चावल। 24: नमूना सैम्स सेवा बंद कर देता है

5.2 विशेषाधिकार

सामान्यतया, रयूक नेटवर्क के भीतर पार्श्व रूप से आगे बढ़ने से शुरू होता है या इसे किसी अन्य मैलवेयर द्वारा लॉन्च किया जाता है Emotet या छल करने वाला, जो विशेषाधिकार वृद्धि की स्थिति में, इन उन्नत अधिकारों को रैंसमवेयर में स्थानांतरित कर देता है।

पहले से, कार्यान्वयन प्रक्रिया की प्रस्तावना के रूप में, हम उसे प्रक्रिया को क्रियान्वित करते हुए देखते हैं स्वयं का प्रतिरूपण करें, जिसका अर्थ है कि एक्सेस टोकन की सुरक्षा सामग्री को स्ट्रीम में भेज दिया जाएगा, जहां इसे तुरंत उपयोग करके पुनर्प्राप्त किया जाएगा GetCurrentThread.

चावल। 25: प्रतिरूपण स्वयं को कॉल करें

फिर हम देखते हैं कि यह एक एक्सेस टोकन को थ्रेड के साथ जोड़ देगा। हम यह भी देखते हैं कि झंडों में से एक है वांछित पहुँच, जिसका उपयोग थ्रेड की पहुंच को नियंत्रित करने के लिए किया जा सकता है। इस स्थिति में edx को जो मान प्राप्त होगा वह होना चाहिए TOKEN_ALL_ACESS या अन्यथा - टोकन_लिखें.

चावल। 26: फ्लो टोकन बनाना

फिर वह उपयोग करेगा SeDebugविशेषाधिकार और थ्रेड पर डिबग अनुमतियाँ प्राप्त करने के लिए कॉल करेगा, जिसके परिणामस्वरूप PROCESS_ALL_ACCESS, वह किसी भी आवश्यक प्रक्रिया तक पहुंचने में सक्षम होगा। अब, यह देखते हुए कि एन्क्रिप्टर के पास पहले से ही एक तैयार स्ट्रीम है, जो कुछ बचा है वह अंतिम चरण पर आगे बढ़ना है।

चावल। 27: SeDebugPrivilege और विशेषाधिकार एस्केलेशन फ़ंक्शन को कॉल करना

एक ओर, हमारे पास लुकअपप्रिविलेजवैल्यूडब्ल्यू है, जो हमें उन विशेषाधिकारों के बारे में आवश्यक जानकारी प्रदान करता है जिन्हें हम बढ़ाना चाहते हैं।

चावल। 28: विशेषाधिकार वृद्धि के लिए विशेषाधिकारों के बारे में जानकारी का अनुरोध करें

दूसरी ओर, हमारे पास है टोकनविशेषाधिकार समायोजित करें, जो हमें अपनी स्ट्रीम के लिए आवश्यक अधिकार प्राप्त करने की अनुमति देता है। ऐसे में सबसे अहम बात ये है नया राज्य, जिसका झंडा विशेषाधिकार प्रदान करेगा।

चावल। 29: टोकन के लिए अनुमतियाँ सेट करना

5.3 कार्यान्वयन

इस अनुभाग में, हम दिखाएंगे कि नमूना इस रिपोर्ट में पहले उल्लिखित कार्यान्वयन प्रक्रिया को कैसे निष्पादित करता है।

कार्यान्वयन प्रक्रिया का मुख्य लक्ष्य, साथ ही वृद्धि, पहुंच प्राप्त करना है छाया प्रतियाँ. ऐसा करने के लिए, उसे स्थानीय उपयोगकर्ता की तुलना में अधिक अधिकारों वाले थ्रेड के साथ काम करने की आवश्यकता है। एक बार जब यह ऐसे उन्नत अधिकार प्राप्त कर लेता है, तो यह प्रतियों को हटा देगा और अन्य प्रक्रियाओं में बदलाव करेगा ताकि ऑपरेटिंग सिस्टम में पहले के पुनर्स्थापना बिंदु पर वापस लौटना असंभव हो जाए।

जैसा कि इस प्रकार के मैलवेयर के साथ होता है, यह उपयोग करता है CreateToolHelp32Snapshotइसलिए यह वर्तमान में चल रही प्रक्रियाओं का एक स्नैपशॉट लेता है और उन प्रक्रियाओं तक पहुंचने का प्रयास करता है खुली प्रक्रिया. एक बार जब यह प्रक्रिया तक पहुंच प्राप्त कर लेता है, तो यह प्रक्रिया मापदंडों को प्राप्त करने के लिए अपनी जानकारी के साथ एक टोकन भी खोलता है।

चावल। 30: कंप्यूटर से प्रक्रियाओं को पुनः प्राप्त करना

हम CreateToolhelp140002Snapshot का उपयोग करके गतिशील रूप से देख सकते हैं कि यह रूटीन 9D32C में चल रही प्रक्रियाओं की सूची कैसे प्राप्त करता है। उन्हें प्राप्त करने के बाद, वह सूची में जाता है, ओपनप्रोसेस का उपयोग करके प्रक्रियाओं को एक-एक करके खोलने का प्रयास करता है जब तक कि वह सफल नहीं हो जाता। इस मामले में, वह पहली प्रक्रिया खोलने में सक्षम था "टास्कहोस्ट.exe".

चावल। 31: एक प्रक्रिया प्राप्त करने के लिए एक प्रक्रिया को गतिशील रूप से निष्पादित करें

हम देख सकते हैं कि यह बाद में प्रक्रिया टोकन जानकारी को पढ़ता है, इसलिए यह कॉल करता है ओपनप्रोसेसटोकन पैरामीटर के साथ "20008"

चावल। 32: प्रक्रिया टोकन जानकारी पढ़ें

यह यह भी जाँचता है कि जिस प्रक्रिया में इसे इंजेक्ट किया जाएगा वह तो नहीं है Csrss.exe-, explorer.exe, lsaas.exe या कि उसके पास अधिकारों का एक सेट है एनटी प्राधिकरण.

चावल। 33: बहिष्कृत प्रक्रियाएं

हम गतिशील रूप से देख सकते हैं कि यह प्रक्रिया टोकन जानकारी का उपयोग करके सबसे पहले कैसे जांच करता है 140002D9C यह पता लगाने के लिए कि जिस खाते के अधिकारों का उपयोग किसी प्रक्रिया को निष्पादित करने के लिए किया जा रहा है वह एक खाता है या नहीं एनटी प्राधिकरण.

चावल। 34: एनटी प्राधिकरण जांच

और बाद में, प्रक्रिया के बाहर, वह जाँच करता है कि यह नहीं है csrss.exe, explorer.exe या lsaas.exe.

चावल। 35: एनटी प्राधिकरण जांच

एक बार जब उसने प्रक्रियाओं का एक स्नैपशॉट ले लिया, प्रक्रियाओं को खोल दिया, और सत्यापित किया कि उनमें से कोई भी बाहर नहीं है, तो वह उन प्रक्रियाओं को स्मृति में लिखने के लिए तैयार है जिन्हें इंजेक्ट किया जाएगा।

ऐसा करने के लिए, यह पहले मेमोरी में एक क्षेत्र आरक्षित करता है (वर्चुअलअलोकएक्स), इसमें लिखता है (राइटप्रोसेसमेमोरी) और एक थ्रेड बनाता है (CreateRemoteThread). इन कार्यों के साथ काम करने के लिए, यह चयनित प्रक्रियाओं के पीआईडी ​​का उपयोग करता है, जिसका उपयोग करके इसे पहले प्राप्त किया गया था CreateToolhelp32Snapshot.

चावल। 36: कोड एंबेड करें

यहां हम गतिशील रूप से देख सकते हैं कि यह फ़ंक्शन को कॉल करने के लिए प्रक्रिया पीआईडी ​​का उपयोग कैसे करता है वर्चुअलअलोकएक्स.

चावल। 37: वर्चुअलअलोकएक्स को कॉल करें

5.4 एन्क्रिप्शन
इस अनुभाग में, हम इस नमूने के एन्क्रिप्शन भाग को देखेंगे। निम्नलिखित चित्र में आप दो सबरूटीन्स देख सकते हैं जिन्हें "LoadLibrary_EncodeString"और"एनकोड_फ़नक", जो एन्क्रिप्शन प्रक्रिया को निष्पादित करने के लिए जिम्मेदार हैं।

चावल। 38: एन्क्रिप्शन प्रक्रियाएँ

शुरुआत में हम देख सकते हैं कि यह एक स्ट्रिंग को कैसे लोड करता है जिसका उपयोग बाद में आवश्यक सभी चीज़ों को स्पष्ट करने के लिए किया जाएगा: आयात, डीएलएल, कमांड, फ़ाइलें और सीएसपी।

चावल। 39: डिओबफस्केशन सर्किट

निम्न चित्र पहले आयात को दिखाता है जिसे यह रजिस्टर आर4 में स्पष्ट करता है। LoadLibrary. इसका उपयोग बाद में आवश्यक डीएलएल लोड करने के लिए किया जाएगा। हम रजिस्टर R12 में एक और लाइन भी देख सकते हैं, जिसका उपयोग पिछली लाइन के साथ डिओबफस्केशन करने के लिए किया जाता है।

चावल। 40: गतिशील विभ्रम

यह कमांड डाउनलोड करना जारी रखता है जिसे बाद में बैकअप, रीस्टोर पॉइंट और सुरक्षित बूट मोड को अक्षम करने के लिए चलाया जाएगा।

चावल। 41: कमांड लोड हो रहा है

फिर यह उस स्थान को लोड करता है जहां यह 3 फ़ाइलें छोड़ेगा: विंडोज़.बैट, रन.एससीटी и प्रारंभ.बल्ले.

चावल। 42: फ़ाइल स्थान

इन 3 फ़ाइलों का उपयोग प्रत्येक स्थान के विशेषाधिकारों की जाँच करने के लिए किया जाता है। यदि आवश्यक विशेषाधिकार उपलब्ध नहीं हैं, तो रयूक निष्पादन रोक देता है।

यह तीन फ़ाइलों के अनुरूप पंक्तियों को लोड करना जारी रखता है। पहला, DECRYPT_INFORMATION.html, फ़ाइलों को पुनर्प्राप्त करने के लिए आवश्यक जानकारी शामिल है। दूसरा, जनता, में RSA सार्वजनिक कुंजी शामिल है।

चावल। 43: पंक्ति डिक्रिप्ट जानकारी.एचटीएमएल

तीसरा, अद्वितीय_आईडी_नहीं_हटाएं, एन्क्रिप्टेड कुंजी शामिल है जिसका उपयोग एन्क्रिप्शन करने के लिए अगले रूटीन में किया जाएगा।

चावल। 44: लाइन यूनिक आईडी न हटाएं

अंत में, यह आवश्यक आयात और सीएसपी के साथ आवश्यक पुस्तकालयों को डाउनलोड करता है (माइक्रोसॉफ्ट उन्नत आरएसए и एईएस क्रिप्टोग्राफ़िक प्रदाता).

चावल। 45: पुस्तकालय लोड हो रहे हैं

सभी डिओबफस्केशन पूरा होने के बाद, यह एन्क्रिप्शन के लिए आवश्यक क्रियाओं को करने के लिए आगे बढ़ता है: सभी लॉजिकल ड्राइव्स की गणना करना, पिछले रूटीन में जो लोड किया गया था उसे निष्पादित करना, सिस्टम में उपस्थिति को मजबूत करना, RyukReadMe.html फ़ाइल को फेंकना, एन्क्रिप्शन, सभी नेटवर्क ड्राइव्स की गणना करना , पता लगाए गए उपकरणों और उनके एन्क्रिप्शन में संक्रमण।
यह सब लोडिंग से शुरू होता है"cmd.exe"और आरएसए सार्वजनिक कुंजी रिकॉर्ड।

चावल। 46: एन्क्रिप्शन की तैयारी

फिर यह सभी लॉजिकल ड्राइव का उपयोग करता है GetLogicalDrives और सभी बैकअप, पुनर्स्थापना बिंदु और सुरक्षित बूट मोड को अक्षम कर देता है।

चावल। 47: पुनर्प्राप्ति उपकरण निष्क्रिय करना

उसके बाद, यह सिस्टम में अपनी उपस्थिति को मजबूत करता है, जैसा कि हमने ऊपर देखा, और पहली फ़ाइल लिखता है RyukReadMe.html в अस्थायी.

चावल। 48: फिरौती नोटिस प्रकाशित करना

निम्नलिखित चित्र में आप देख सकते हैं कि यह कैसे एक फ़ाइल बनाता है, सामग्री डाउनलोड करता है और उसे लिखता है:

चावल। 49: फ़ाइल सामग्री लोड करना और लिखना

सभी उपकरणों पर समान कार्य करने में सक्षम होने के लिए, वह इसका उपयोग करता है
"icacls.exe", जैसा कि हमने ऊपर दिखाया।

चावल। 50: icalcls.exe का उपयोग करना

और अंत में, यह "*.exe", "*.dll" फ़ाइलों, सिस्टम फ़ाइलों और एन्क्रिप्टेड श्वेत सूची के रूप में निर्दिष्ट अन्य स्थानों को छोड़कर फ़ाइलों को एन्क्रिप्ट करना शुरू कर देता है। ऐसा करने के लिए, यह आयात का उपयोग करता है: CryptAcquireContextW (जहां एईएस और आरएसए का उपयोग निर्दिष्ट है), CryptDeriveKey, CryptGenKey, CryptDestroyKey वगैरह। यह WNetEnumResourceW का उपयोग करके खोजे गए नेटवर्क उपकरणों तक अपनी पहुंच बढ़ाने और फिर उन्हें एन्क्रिप्ट करने का भी प्रयास करता है।

चावल। 51: सिस्टम फ़ाइलों को एन्क्रिप्ट करना

6. आयात और संबंधित झंडे

नीचे एक तालिका दी गई है जिसमें नमूने द्वारा उपयोग किए गए सर्वाधिक प्रासंगिक आयातों और झंडों को सूचीबद्ध किया गया है:

7. आईओसी

संदर्भों

• उपयोगकर्ताPublicrun.sct
• प्रारंभ मेनूप्रोग्राम्सस्टार्टअपस्टार्ट.बैट AppDataRoamingMicrosoftWindowsStart
• मेनूप्रोग्राम्सस्टार्टअपस्टार्ट.बैट

रयूक रैंसमवेयर पर एक तकनीकी रिपोर्ट एंटीवायरस प्रयोगशाला पांडालैब्स के विशेषज्ञों द्वारा संकलित की गई थी।

8. लिंक

1. "एवेरिस वाई प्रिसा रेडियो सुफ्रेन अन ग्रेव साइबरटाक क्यू सेक्यूस्ट्रा सस सिस्टमास।"https://www. elconfidencial.com/tecnologia/2019-11-04/everis-la-ser-ciberataque-ransomware-15_2312019/, प्रकाशन el 04/11/2019।

2।

3. "VB2019 पेपर: शिनिगामी का बदला: रयूक मैलवेयर की लंबी पूंछ।" https://securelist.com/story-of-the-year-2019-cities-under-ransomware-siege/95456/, पब्लिकाडा एल 11 /12/2019

4. "रयूक के साथ बिग गेम हंटिंग: एक और आकर्षकबीटार्गेटेड रैंसमवेयर।"https://www. Crowdstrike.com/blog/big-game-hunting-with-ryuk-another-lucrative-targeted-ransomware/, प्रकाशन 10/01/2019।

5. "VB2019 पेपर: शिनिगामी का बदला: रयूक मैलवेयर की लंबी पूंछ।" https://www. virusbulletin.com/virusbulletin/2019/10/ vb2019-paper-shinigamis-revenge-long-tail-r

स्रोत: www.habr.com