वुल्फ्रिक रैनसमवेयर एक रैंसमवेयर है जो मौजूद नहीं है

कभी-कभी आप बस किसी वायरस लेखक की आँखों में देखना चाहते हैं और पूछना चाहते हैं: क्यों और क्यों? हम "कैसे" प्रश्न का उत्तर स्वयं दे सकते हैं, लेकिन यह पता लगाना बहुत दिलचस्प होगा कि यह या वह मैलवेयर निर्माता क्या सोच रहा था। खासकर जब हमारे सामने ऐसे "मोती" आते हैं।

आज के लेख का नायक एक क्रिप्टोग्राफर का एक दिलचस्प उदाहरण है। जाहिर तौर पर इसकी कल्पना सिर्फ एक और "रैनसमवेयर" के रूप में की गई थी, लेकिन इसका तकनीकी कार्यान्वयन किसी के क्रूर मजाक जैसा लगता है। हम आज इस कार्यान्वयन के बारे में बात करेंगे।

दुर्भाग्य से, इस एनकोडर के जीवन चक्र का पता लगाना लगभग असंभव है - इस पर बहुत कम आँकड़े हैं, क्योंकि, सौभाग्य से, यह व्यापक नहीं हुआ है। इसलिए, हम उत्पत्ति, संक्रमण के तरीकों और अन्य संदर्भों को छोड़ देंगे। आइए बस हमारी मुलाकात के मामले के बारे में बात करें वुल्फ्रिक रैंसमवेयर और हमने उपयोगकर्ता को उसकी फ़ाइलें सहेजने में कैसे मदद की।

I. यह सब कैसे शुरू हुआ

जो लोग रैंसमवेयर के शिकार हुए हैं वे अक्सर हमारी एंटी-वायरस प्रयोगशाला से संपर्क करते हैं। हम सहायता प्रदान करते हैं भले ही उन्होंने कोई भी एंटीवायरस उत्पाद स्थापित किया हो। इस बार हमसे एक ऐसे व्यक्ति ने संपर्क किया जिसकी फ़ाइलें एक अज्ञात एनकोडर से प्रभावित थीं।

शुभ दोपहर फ़ाइलों को पासवर्ड रहित लॉगिन के साथ फ़ाइल स्टोरेज (samba4) पर एन्क्रिप्ट किया गया था। मुझे संदेह है कि संक्रमण मेरी बेटी के कंप्यूटर (मानक विंडोज डिफेंडर सुरक्षा के साथ विंडोज 10) से आया है। उसके बाद बेटी का कंप्यूटर चालू नहीं हुआ। फ़ाइलें मुख्य रूप से .jpg और .cr2 एन्क्रिप्टेड हैं। एन्क्रिप्शन के बाद फ़ाइल एक्सटेंशन: .aef.

हमें उपयोगकर्ता से एन्क्रिप्टेड फ़ाइलों के नमूने, एक फिरौती नोट और एक फ़ाइल प्राप्त हुई जो संभवतः रैंसमवेयर लेखक को फ़ाइलों को डिक्रिप्ट करने के लिए आवश्यक कुंजी है।

यहां हमारे सभी सुराग हैं:

• 01c.aef (4481K)
• हैक किया गया.jpg (254K)
• हैक किया गया.txt (0K)
• 04c.aef (6540K)
• पास.कुंजी (0K)

आइये नोट पर एक नजर डालते हैं. इस बार कितने बिटकॉइन?

अनुवाद:

ध्यान दें, आपकी फ़ाइलें एन्क्रिप्टेड हैं!
पासवर्ड आपके पीसी के लिए अद्वितीय है.

बिटकॉइन पते पर 0.05 बीटीसी की राशि का भुगतान करें: 1ERtRjWAKyG2Edm9nKLLCzd8p1CjjdTiF
भुगतान के बाद, मुझे pass.key फ़ाइल संलग्न करते हुए एक ईमेल भेजें [ईमेल संरक्षित] भुगतान की सूचना के साथ.

पुष्टि के बाद, मैं आपको फ़ाइलों के लिए एक डिक्रिप्टर भेजूंगा।

आप बिटकॉइन के लिए विभिन्न तरीकों से ऑनलाइन भुगतान कर सकते हैं:
buy.blockexplorer.com — बैंक कार्ड द्वारा भुगतान
www.buybitcoinworldide.com
localbitcoins.net

बिटकॉइन के बारे में:
en.wikipedia.org/wiki/Bitcoin
यदि आपके कोई प्रश्न हैं, तो कृपया मुझे यहां लिखें [ईमेल संरक्षित]
बोनस के रूप में, मैं आपको बताऊंगा कि आपका कंप्यूटर कैसे हैक हुआ था और भविष्य में इसे कैसे सुरक्षित रखा जाए।

एक दिखावटी भेड़िया, जिसे पीड़ित को स्थिति की गंभीरता दिखाने के लिए डिज़ाइन किया गया है। हालाँकि, यह और भी बुरा हो सकता था।

चावल। 1. - बोनस के रूप में, मैं आपको बताऊंगा कि भविष्य में अपने कंप्यूटर की सुरक्षा कैसे करें। -वैध लगता है।

द्वितीय. आएँ शुरू करें

सबसे पहले हमने भेजे गए सैंपल की संरचना को देखा. अजीब बात है कि, यह उस फ़ाइल की तरह नहीं लग रहा था जो रैंसमवेयर द्वारा क्षतिग्रस्त हो गई थी। हेक्साडेसिमल संपादक खोलें और एक नज़र डालें। पहले 4 बाइट्स में मूल फ़ाइल आकार होता है, अगले 60 बाइट्स शून्य से भरे होते हैं। लेकिन सबसे दिलचस्प बात अंत में है:

चावल। 2 क्षतिग्रस्त फ़ाइल का विश्लेषण करें. कौन सी चीज़ तुरंत आपकी नज़र में आ जाती है?

सब कुछ बेहद सरल निकला: हेडर से 0x40 बाइट्स फ़ाइल के अंत में ले जाया गया। डेटा को पुनर्स्थापित करने के लिए, बस इसे शुरुआत में लौटाएँ। फ़ाइल तक पहुंच बहाल कर दी गई है, लेकिन नाम एन्क्रिप्टेड है, और इसके साथ चीजें और अधिक जटिल होती जा रही हैं।

चावल। 3. Base64 में एन्क्रिप्ट किया गया नाम वर्णों के एक अव्यवस्थित सेट जैसा दिखता है।

आइए इसे जानने का प्रयास करें पास.कुंजी, उपयोगकर्ता द्वारा सबमिट किया गया। इसमें हम ASCII वर्णों का 162-बाइट अनुक्रम देखते हैं।

चावल। 4. पीड़िता के पीसी पर 162 अक्षर बचे हैं।

यदि आप बारीकी से देखें, तो आप देखेंगे कि प्रतीक एक निश्चित आवृत्ति के साथ दोहराए जाते हैं। यह XOR के उपयोग का संकेत दे सकता है, जो दोहराव की विशेषता है, जिसकी आवृत्ति कुंजी की लंबाई पर निर्भर करती है। स्ट्रिंग को 6 वर्णों में विभाजित करने और XOR अनुक्रमों के कुछ प्रकारों के साथ XORed करने के बाद, हमें कोई सार्थक परिणाम नहीं मिला।

चावल। 5. बीच में दोहराए जाने वाले स्थिरांक देखें?

हमने स्थिरांक को गूगल करने का निर्णय लिया, क्योंकि हाँ, यह भी संभव है! और वे सभी अंततः एक एल्गोरिथ्म - बैच एन्क्रिप्शन की ओर ले गए। स्क्रिप्ट का अध्ययन करने के बाद, यह स्पष्ट हो गया कि हमारी लाइन उसके काम के परिणाम से ज्यादा कुछ नहीं है। यह उल्लेख किया जाना चाहिए कि यह बिल्कुल एक एन्क्रिप्टर नहीं है, बल्कि सिर्फ एक एनकोडर है जो 6-बाइट अनुक्रमों के साथ वर्णों को प्रतिस्थापित करता है। आपके लिए कोई चाबियाँ या अन्य रहस्य नहीं :)

चावल। 6. अज्ञात लेखकत्व के मूल एल्गोरिदम का एक टुकड़ा।

यदि एक विवरण न हो तो एल्गोरिथम उस तरह काम नहीं करेगा जैसा उसे करना चाहिए:

चावल। 7. मॉर्फियस ने मंजूरी दे दी।

रिवर्स प्रतिस्थापन का उपयोग करके हम स्ट्रिंग को रूपांतरित करते हैं पास.कुंजी 27 अक्षरों के एक पाठ में। मानवीय (संभवतः) पाठ 'असमोदत' विशेष ध्यान देने योग्य है।

चित्र.8. यूएसजीएफडीजी=7.

गूगल फिर से हमारी मदद करेगा. थोड़ी खोज के बाद, हमें GitHub पर एक दिलचस्प प्रोजेक्ट मिला - फ़ोल्डर लॉकर, जो .Net में लिखा गया है और दूसरे Git खाते से 'asmodat' लाइब्रेरी का उपयोग कर रहा है।

चावल। 9. फ़ोल्डर लॉकर इंटरफ़ेस। मैलवेयर की जांच अवश्य करें.

उपयोगिता विंडोज 7 और उच्चतर के लिए एक एन्क्रिप्टर है, जिसे ओपन सोर्स के रूप में वितरित किया जाता है। एन्क्रिप्शन के दौरान, एक पासवर्ड का उपयोग किया जाता है, जो बाद के डिक्रिप्शन के लिए आवश्यक है। आपको व्यक्तिगत फ़ाइलों और संपूर्ण निर्देशिकाओं दोनों के साथ काम करने की अनुमति देता है।

इसकी लाइब्रेरी सीबीसी मोड में रिजेंडेल सममित एन्क्रिप्शन एल्गोरिदम का उपयोग करती है। यह उल्लेखनीय है कि ब्लॉक का आकार 256 बिट चुना गया था - एईएस मानक में अपनाए गए आकार के विपरीत। उत्तरार्द्ध में, आकार 128 बिट्स तक सीमित है।

हमारी कुंजी PBKDF2 मानक के अनुसार बनाई गई है। इस मामले में, उपयोगिता में दर्ज स्ट्रिंग से पासवर्ड SHA-256 है। डिक्रिप्शन कुंजी उत्पन्न करने के लिए केवल इस स्ट्रिंग को ढूंढना बाकी है।

खैर, चलिए अपने पहले से ही डिकोड किए गए पर वापस आते हैं पास.कुंजी. संख्याओं के समूह और 'एस्मोडैट' टेक्स्ट वाली वह पंक्ति याद है? आइए स्ट्रिंग के पहले 20 बाइट्स को फ़ोल्डर लॉकर के पासवर्ड के रूप में उपयोग करने का प्रयास करें।

देखो, यह काम करता है! कोड वर्ड सामने आया, और सब कुछ पूरी तरह से समझ लिया गया। पासवर्ड में वर्णों को देखते हुए, यह ASCII में एक विशिष्ट शब्द का HEX प्रतिनिधित्व है। आइए कोड शब्द को टेक्स्ट फॉर्म में प्रदर्शित करने का प्रयास करें। हम पाते हैं 'शैडो वूल्फ'. क्या आप पहले से ही लाइकेंथ्रोपी के लक्षण महसूस कर रहे हैं?

आइए प्रभावित फ़ाइल की संरचना पर एक और नज़र डालें, अब जानें कि लॉकर कैसे काम करता है:

• 02 00 00 00 - नाम एन्क्रिप्शन मोड;
• 58 00 00 00 - एन्क्रिप्टेड और बेस64 एन्कोडेड फ़ाइल नाम की लंबाई;
• 40 00 00 00 - स्थानांतरित हेडर का आकार।

एन्क्रिप्टेड नाम और स्थानांतरित हेडर क्रमशः लाल और पीले रंग में हाइलाइट किए गए हैं।

चावल। 10. एन्क्रिप्टेड नाम लाल रंग में हाइलाइट किया गया है, स्थानांतरित हेडर पीले रंग में हाइलाइट किया गया है।

अब आइए हेक्साडेसिमल प्रतिनिधित्व में एन्क्रिप्टेड और डिक्रिप्टेड नामों की तुलना करें।

डिक्रिप्टेड डेटा की संरचना:

• 78 बी9 बी8 2ई - उपयोगिता द्वारा निर्मित कचरा (4 बाइट्स);
• 0С 00 00 00 - डिक्रिप्टेड नाम की लंबाई (12 बाइट्स);
• इसके बाद वास्तविक फ़ाइल नाम और आवश्यक ब्लॉक लंबाई (पैडिंग) तक शून्य के साथ पैडिंग आती है।

चावल। 11. IMG_4114 काफी बेहतर दिखता है।

तृतीय. निष्कर्ष और निष्कर्ष

शुरुआत पर वापस जाएं। हम नहीं जानते कि Wulfric.Ransomware के लेखक को किस बात ने प्रेरित किया और उसने किस लक्ष्य का पीछा किया। बेशक, औसत उपयोगकर्ता के लिए, ऐसे एन्क्रिप्टर के काम का परिणाम भी एक बड़ी आपदा जैसा प्रतीत होगा। फ़ाइलें नहीं खुलतीं. सारे नाम ख़त्म हो गए. सामान्य तस्वीर के बजाय, स्क्रीन पर एक भेड़िया है। वे आपको बिटकॉइन के बारे में पढ़ने के लिए मजबूर करते हैं।

सच है, इस बार, एक "भयानक एनकोडर" की आड़ में, जबरन वसूली का ऐसा हास्यास्पद और मूर्खतापूर्ण प्रयास छिपा हुआ था, जहां हमलावर तैयार कार्यक्रमों का उपयोग करता है और चाबियाँ सीधे अपराध स्थल पर छोड़ देता है।

वैसे, चाबियों के बारे में। हमारे पास कोई दुर्भावनापूर्ण स्क्रिप्ट या ट्रोजन नहीं था जो हमें यह समझने में मदद कर सके कि यह कैसे हुआ। पास.कुंजी - वह तंत्र जिसके द्वारा फ़ाइल संक्रमित पीसी पर दिखाई देती है वह अज्ञात रहता है। लेकिन, मुझे याद है, अपने नोट में लेखक ने पासवर्ड की विशिष्टता का उल्लेख किया था। तो, डिक्रिप्शन के लिए कोड शब्द उतना ही अनोखा है जितना उपयोगकर्ता नाम शैडो वुल्फ अद्वितीय है :)

और फिर भी, छाया भेड़िया, क्यों और क्यों?

स्रोत: www.habr.com