नकली PayPal साइट से Nemty रैनसमवेयर से मिलें

नेम्टी नामक एक नया रैंसमवेयर नेटवर्क पर दिखाई दिया है, जो संभवतः ग्रैंडक्रैब या बुरान का उत्तराधिकारी है। मैलवेयर मुख्य रूप से नकली PayPal वेबसाइट से वितरित किया जाता है और इसमें कई दिलचस्प विशेषताएं हैं। यह रैनसमवेयर कैसे काम करता है इसके बारे में विवरण नीचे दिया गया है।

उपयोगकर्ता द्वारा खोजा गया नया नेम्टी रैनसमवेयर nao_sec 7 सितंबर 2019. मैलवेयर एक वेबसाइट के माध्यम से वितरित किया गया था पेपैल के रूप में प्रच्छन्न, रैंसमवेयर के लिए RIG एक्सप्लॉइट किट के माध्यम से कंप्यूटर में प्रवेश करना भी संभव है। हमलावरों ने उपयोगकर्ता को कैशबैक.एक्सई फ़ाइल चलाने के लिए मजबूर करने के लिए सोशल इंजीनियरिंग तरीकों का इस्तेमाल किया, जो उसे कथित तौर पर पेपैल वेबसाइट से प्राप्त हुआ था। यह भी दिलचस्प है कि नेम्टी ने स्थानीय प्रॉक्सी सेवा टोर के लिए गलत पोर्ट निर्दिष्ट किया है, जो मैलवेयर को भेजने से रोकता है सर्वर पर डेटा. इसलिए, यदि उपयोगकर्ता फिरौती का भुगतान करने का इरादा रखता है और हमलावरों से डिक्रिप्शन की प्रतीक्षा करना चाहता है, तो उसे एन्क्रिप्टेड फ़ाइलें टोर नेटवर्क पर स्वयं अपलोड करनी होंगी।

नेम्टी के बारे में कई दिलचस्प तथ्य बताते हैं कि इसे उन्हीं लोगों द्वारा या बुरान और ग्रैंडक्रैब से जुड़े साइबर अपराधियों द्वारा विकसित किया गया था।

• गैंडक्रैब की तरह, नेमटी के पास एक ईस्टर अंडा है - एक अश्लील मजाक के साथ रूसी राष्ट्रपति व्लादिमीर पुतिन की तस्वीर का लिंक। पुराने गैंडक्रैब रैंसमवेयर में समान टेक्स्ट वाली एक छवि थी।
• दोनों कार्यक्रमों की भाषा कलाकृतियाँ समान रूसी-भाषी लेखकों की ओर इशारा करती हैं।
• यह 8092-बिट आरएसए कुंजी का उपयोग करने वाला पहला रैंसमवेयर है। हालाँकि इसका कोई मतलब नहीं है: हैकिंग से बचाने के लिए 1024-बिट कुंजी काफी है।
• बुरान की तरह, रैंसमवेयर ऑब्जेक्ट पास्कल में लिखा गया है और बोरलैंड डेल्फ़ी में संकलित किया गया है।

स्थैतिक विश्लेषण

दुर्भावनापूर्ण कोड का निष्पादन चार चरणों में होता है। पहला कदम कैशबैक.exe को चलाना है, जो 32 बाइट्स के आकार के साथ एमएस विंडोज के तहत एक PE1198936 निष्पादन योग्य फ़ाइल है। इसका कोड विज़ुअल C++ में लिखा गया था और 14 अक्टूबर 2013 को संकलित किया गया था। इसमें एक संग्रह है जो कैशबैक.exe चलाने पर स्वचालित रूप से अनपैक हो जाता है। सॉफ़्टवेयर .cab संग्रह से फ़ाइलें प्राप्त करने के लिए कैबिनेट.dll लाइब्रेरी और इसके फ़ंक्शंस FDICreate(), FDIDestroy() और अन्य का उपयोग करता है।

SHA-256: A127323192ABED93AED53648D03CA84DE3B5B006B641033EB46A520B7A3C16FC

संग्रह को अनपैक करने के बाद, तीन फ़ाइलें दिखाई देंगी।

इसके बाद, temp.exe लॉन्च किया गया है, जो MS Windows के अंतर्गत 32 बाइट्स के आकार के साथ एक PE307200 निष्पादन योग्य फ़ाइल है। कोड विज़ुअल C++ में लिखा गया है और MPRESS पैकर, UPX के समान पैकर के साथ पैक किया गया है।

SHA-256: EBDBA4B1D1DE65A1C6B14012B674E7FA7F8C5F5A8A5A2A9C3C338F02DD726AAD

अगला चरण आयरनमैन.exe है। एक बार लॉन्च होने के बाद, temp.exe temp में एम्बेडेड डेटा को डिक्रिप्ट करता है और इसे आयरनमैन.exe, 32 बाइट PE544768 निष्पादन योग्य फ़ाइल में नाम देता है। कोड बोरलैंड डेल्फ़ी में संकलित है।

SHA-256: 2C41B93ADD9AC5080A12BF93966470F8AB3BDE003001492A10F63758867F2A88

अंतिम चरण आयरनमैन.exe फ़ाइल को पुनरारंभ करना है। रनटाइम पर, यह अपना कोड बदल देता है और मेमोरी से स्वयं चलता है। आयरनमैन.exe का यह संस्करण दुर्भावनापूर्ण है और एन्क्रिप्शन के लिए ज़िम्मेदार है।

आक्रमण सदिश

वर्तमान में, Nemty Ransomware वेबसाइट pp-back.info के माध्यम से वितरित किया जाता है।

संक्रमण की पूरी चेन देखी जा सकती है ऐप.कोई भी.रन सैंडबॉक्स.

स्थापना

Cashback.exe - हमले की शुरुआत. जैसा कि पहले ही उल्लेख किया गया है, Cashback.exe इसमें मौजूद .cab फ़ाइल को अनपैक करता है। इसके बाद यह %TEMP%IXxxx.TMP फॉर्म का एक फ़ोल्डर TMP4351$.TMP बनाता है, जहां xxx 001 से 999 तक की एक संख्या है।

इसके बाद, एक रजिस्ट्री कुंजी स्थापित की जाती है, जो इस तरह दिखती है:

[HKLMSOFTWAREWOW6432NodeMicrosoftWindowsCurrentVersionRunOncewextract_cleanup0]
“rundll32.exe” “C:Windowssystem32advpack.dll,DelNodeRunDLL32 “C:UsersMALWAR~1AppDataLocalTempIXPxxx.TMP””

इसका उपयोग अनपैक्ड फ़ाइलों को हटाने के लिए किया जाता है। अंत में, Cashback.exe temp.exe प्रक्रिया शुरू करता है।

Temp.exe संक्रमण श्रृंखला में दूसरा चरण है

यह कैशबैक.exe फ़ाइल द्वारा शुरू की गई प्रक्रिया है, जो वायरस निष्पादन का दूसरा चरण है। यह विंडोज़ पर स्क्रिप्ट चलाने के लिए एक टूल AutoHotKey को डाउनलोड करने और PE फ़ाइल के संसाधन अनुभाग में स्थित windowSpy.ahk स्क्रिप्ट को चलाने का प्रयास करता है।

WindowsSpy.ahk स्क्रिप्ट RC4 एल्गोरिथम और पासवर्ड IwantAcake का उपयोग करके आयरनमैन.exe में अस्थायी फ़ाइल को डिक्रिप्ट करती है। पासवर्ड से कुंजी एमडी5 हैशिंग एल्गोरिदम का उपयोग करके प्राप्त की जाती है।

temp.exe फिर आयरनमैन.exe प्रक्रिया को कॉल करता है।

आयरनमैन.exe - तीसरा चरण

आयरनमैन.exe, आयरन.बीएमपी फ़ाइल की सामग्री को पढ़ता है और क्रिप्टोलॉकर के साथ एक आयरन.txt फ़ाइल बनाता है जिसे आगे लॉन्च किया जाएगा।

इसके बाद, वायरस आयरन.txt को मेमोरी में लोड करता है और इसे आयरनमैन.exe के रूप में पुनः आरंभ करता है। इसके बाद आयरन.txt डिलीट हो जाता है।

आयरनमैन.exe NEMTY रैंसमवेयर का मुख्य भाग है, जो प्रभावित कंप्यूटर पर फ़ाइलों को एन्क्रिप्ट करता है। मैलवेयर नफरत नामक म्यूटेक्स बनाता है।

पहली चीज़ जो यह करती है वह कंप्यूटर की भौगोलिक स्थिति निर्धारित करती है। नेम्टी ब्राउज़र खोलता है और आईपी का पता लगाता है http://api.ipify.org। साइट पर api.db-ip.com/v2/free[आईपी]/देश का नाम प्राप्त आईपी से देश का निर्धारण किया जाता है, और यदि कंप्यूटर नीचे सूचीबद्ध क्षेत्रों में से एक में स्थित है, तो मैलवेयर कोड का निष्पादन रुक जाता है:

• रूस
• बेलारूस
• यूक्रेन
• Казахстан
• ताजीकिस्तान

सबसे अधिक संभावना है, डेवलपर्स अपने निवास के देशों में कानून प्रवर्तन एजेंसियों का ध्यान आकर्षित नहीं करना चाहते हैं, और इसलिए अपने "घर" क्षेत्राधिकार में फ़ाइलों को एन्क्रिप्ट नहीं करते हैं।

यदि पीड़ित का आईपी पता उपरोक्त सूची से संबंधित नहीं है, तो वायरस उपयोगकर्ता की जानकारी को एन्क्रिप्ट करता है।

फ़ाइल पुनर्प्राप्ति को रोकने के लिए, उनकी छाया प्रतियां हटा दी जाती हैं:

इसके बाद यह उन फ़ाइलों और फ़ोल्डरों की एक सूची बनाता है जिन्हें एन्क्रिप्ट नहीं किया जाएगा, साथ ही फ़ाइल एक्सटेंशन की एक सूची भी बनाई जाती है।

• खिड़कियां
• $ RECYCLE.BIN
• आरएसए
• NTDETECT.COM
• एनटीएलडीआर
• MSDOS.SYS
• आईओ.एसवाईएस
• Boot.ini AUTOEXEC.BAT ntuser.dat
• Desktop.ini
• कॉन्फ़िग.SYS
• बूटसेक्ट.बाकी
• BOOTMGR
• प्रोग्राम डेटा
• एप्लिकेशन आंकड़ा
• ओसॉफ्ट
• आम फाइलें

log LOG CAB cab CMD cmd COM com cpl
CPL exe EXE ini INI dll DDL lnk LNK url
URL ttf TTF DECRYPT.txt NEMTY 

कहानियो

यूआरएल और एम्बेडेड कॉन्फ़िगरेशन डेटा को छिपाने के लिए, नेम्टी बकवास कीवर्ड के साथ बेस 64 और आरसी 4 एन्कोडिंग एल्गोरिदम का उपयोग करता है।

CryptStringToBinary का उपयोग करके डिक्रिप्शन प्रक्रिया इस प्रकार है

Шифрование

नेम्टी तीन-परत एन्क्रिप्शन का उपयोग करता है:

• फ़ाइलों के लिए AES-128-CBC। 128-बिट एईएस कुंजी यादृच्छिक रूप से उत्पन्न होती है और सभी फ़ाइलों के लिए समान रूप से उपयोग की जाती है। इसे उपयोगकर्ता के कंप्यूटर पर एक कॉन्फ़िगरेशन फ़ाइल में संग्रहीत किया जाता है। IV प्रत्येक फ़ाइल के लिए यादृच्छिक रूप से उत्पन्न होता है और एक एन्क्रिप्टेड फ़ाइल में संग्रहीत होता है।
• फ़ाइल एन्क्रिप्शन के लिए RSA-2048 IV. सत्र के लिए एक कुंजी जोड़ी तैयार की जाती है। सत्र के लिए निजी कुंजी उपयोगकर्ता के कंप्यूटर पर एक कॉन्फ़िगरेशन फ़ाइल में संग्रहीत की जाती है।
• आरएसए-8192. मास्टर सार्वजनिक कुंजी प्रोग्राम में बनाई गई है और कॉन्फ़िगरेशन फ़ाइल को एन्क्रिप्ट करने के लिए उपयोग की जाती है, जो आरएसए-2048 सत्र के लिए एईएस कुंजी और गुप्त कुंजी संग्रहीत करती है।
• नेम्टी पहले 32 बाइट्स यादृच्छिक डेटा उत्पन्न करता है। पहले 16 बाइट्स का उपयोग AES-128-CBC कुंजी के रूप में किया जाता है।

दूसरा एन्क्रिप्शन एल्गोरिदम RSA-2048 है। कुंजी जोड़ी CryptGenKey() फ़ंक्शन द्वारा उत्पन्न होती है और CryptImportKey() फ़ंक्शन द्वारा आयात की जाती है।

एक बार सत्र के लिए कुंजी जोड़ी तैयार हो जाने पर, सार्वजनिक कुंजी को एमएस क्रिप्टोग्राफ़िक सेवा प्रदाता में आयात किया जाता है।

किसी सत्र के लिए जेनरेट की गई सार्वजनिक कुंजी का एक उदाहरण:

इसके बाद, निजी कुंजी को सीएसपी में आयात किया जाता है।

किसी सत्र के लिए जेनरेट की गई निजी कुंजी का एक उदाहरण:

और सबसे आखिर में आता है RSA-8192. मुख्य सार्वजनिक कुंजी को पीई फ़ाइल के .डेटा अनुभाग में एन्क्रिप्टेड रूप (बेस64 + आरसी4) में संग्रहीत किया जाता है।

बेस8192 डिकोडिंग और बकवास पासवर्ड के साथ आरसी64 डिक्रिप्शन के बाद आरएसए-4 कुंजी इस तरह दिखती है।

परिणामस्वरूप, संपूर्ण एन्क्रिप्शन प्रक्रिया इस प्रकार दिखती है:

• एक 128-बिट एईएस कुंजी उत्पन्न करें जिसका उपयोग सभी फ़ाइलों को एन्क्रिप्ट करने के लिए किया जाएगा।
• प्रत्येक फ़ाइल के लिए एक IV बनाएँ.
• RSA-2048 सत्र के लिए एक कुंजी जोड़ी बनाना।
• बेस8192 और आरसी64 का उपयोग करके मौजूदा आरएसए-4 कुंजी का डिक्रिप्शन।
• पहले चरण से AES-128-CBC एल्गोरिथम का उपयोग करके फ़ाइल सामग्री को एन्क्रिप्ट करें।
• RSA-2048 सार्वजनिक कुंजी और बेस64 एन्कोडिंग का उपयोग करके IV एन्क्रिप्शन।
• प्रत्येक एन्क्रिप्टेड फ़ाइल के अंत में एक एन्क्रिप्टेड IV जोड़ना।
• कॉन्फ़िगरेशन में AES कुंजी और RSA-2048 सत्र निजी कुंजी जोड़ना।
• अनुभाग में वर्णित कॉन्फ़िगरेशन डेटा सूचना का संग्रह संक्रमित कंप्यूटर के बारे में मुख्य सार्वजनिक कुंजी RSA-8192 का उपयोग करके एन्क्रिप्ट किया गया है।
• एन्क्रिप्टेड फ़ाइल इस तरह दिखती है:

एन्क्रिप्टेड फ़ाइलों का उदाहरण:

संक्रमित कंप्यूटर के बारे में जानकारी एकत्रित करना

रैंसमवेयर संक्रमित फ़ाइलों को डिक्रिप्ट करने के लिए कुंजी एकत्र करता है, ताकि हमलावर वास्तव में एक डिक्रिप्टर बना सके। इसके अलावा, Nemty उपयोगकर्ता डेटा जैसे उपयोगकर्ता नाम, कंप्यूटर नाम, हार्डवेयर प्रोफ़ाइल एकत्र करता है।

यह संक्रमित कंप्यूटर की ड्राइव के बारे में जानकारी एकत्र करने के लिए GetLogicalDrives(), GetFreeSpace(), GetDriveType() फ़ंक्शन को कॉल करता है।

एकत्रित जानकारी एक कॉन्फ़िगरेशन फ़ाइल में संग्रहीत की जाती है। स्ट्रिंग को डीकोड करने के बाद, हमें कॉन्फ़िगरेशन फ़ाइल में पैरामीटर की एक सूची मिलती है:

संक्रमित कंप्यूटर का उदाहरण कॉन्फ़िगरेशन:

कॉन्फ़िगरेशन टेम्पलेट को इस प्रकार दर्शाया जा सकता है:

{"सामान्य": {"आईपी":"[आईपी]", "देश":"[देश]", "कंप्यूटरनाम":"[कंप्यूटरनाम]", "उपयोगकर्ता नाम":"[उपयोगकर्ता नाम]", "ओएस": "[OS]", "isRU":false, "version":"1.4", "CompID":"{[CompID]}", "FileID":"_NEMTY_[FileID]_", "UserID":"[ उपयोगकर्ता आईडी]", "कुंजी":"[कुंजी]", "पीआर_की":"[पीआर_कुंजी]

Nemty एकत्रित डेटा को JSON प्रारूप में फ़ाइल %USER%/_NEMTY_.nemty में संग्रहीत करता है। फ़ाइलआईडी 7 अक्षर लंबी है और यादृच्छिक रूप से उत्पन्न होती है। उदाहरण के लिए: _NEMTY_tgdLYrd_.nemty. फ़ाइलआईडी को एन्क्रिप्टेड फ़ाइल के अंत में भी जोड़ा जाता है।

फिरौती संदेश

फ़ाइलों को एन्क्रिप्ट करने के बाद, फ़ाइल _NEMTY_[FileID]-DECRYPT.txt निम्नलिखित सामग्री के साथ डेस्कटॉप पर दिखाई देती है:

फ़ाइल के अंत में संक्रमित कंप्यूटर के बारे में एन्क्रिप्टेड जानकारी है।

नेटवर्क संचार

आयरनमैन.exe प्रक्रिया पते से टोर ब्राउज़र वितरण डाउनलोड करती है https://dist.torproject.org/torbrowser/8.5.4/tor-win32-0.4.0.5.zip और इसे स्थापित करने का प्रयास करता है।

इसके बाद नेमटी कॉन्फ़िगरेशन डेटा को 127.0.0.1:9050 पर भेजने का प्रयास करता है, जहां उसे एक कार्यशील टोर ब्राउज़र प्रॉक्सी मिलने की उम्मीद है। हालाँकि, डिफ़ॉल्ट रूप से टोर प्रॉक्सी पोर्ट 9150 पर सुनता है, और पोर्ट 9050 का उपयोग लिनक्स पर टोर डेमॉन या विंडोज़ पर एक्सपर्ट बंडल द्वारा किया जाता है। इस प्रकार, हमलावर के सर्वर पर कोई डेटा नहीं भेजा जाता है। इसके बजाय, उपयोगकर्ता फिरौती संदेश में दिए गए लिंक के माध्यम से टोर डिक्रिप्शन सेवा पर जाकर कॉन्फ़िगरेशन फ़ाइल को मैन्युअल रूप से डाउनलोड कर सकता है।

टोर प्रॉक्सी से कनेक्ट करना:

HTTP GET 127.0.0.1:9050/public/gate?data= के लिए एक अनुरोध बनाता है

यहां आप खुले टीसीपी पोर्ट देख सकते हैं जो टोरलोकल प्रॉक्सी द्वारा उपयोग किए जाते हैं:

टोर नेटवर्क पर नेमटी डिक्रिप्शन सेवा:

डिक्रिप्शन सेवा का परीक्षण करने के लिए आप एक एन्क्रिप्टेड फोटो (जेपीजी, पीएनजी, बीएमपी) अपलोड कर सकते हैं।

इसके बाद हमलावर फिरौती देने के लिए कहता है. भुगतान न करने पर कीमत दोगुनी कर दी जाती है।

निष्कर्ष

फिलहाल, फिरौती का भुगतान किए बिना नेम्टी द्वारा एन्क्रिप्ट की गई फ़ाइलों को डिक्रिप्ट करना संभव नहीं है। रैंसमवेयर के इस संस्करण में बुरान रैंसमवेयर और पुराने गैंडक्रैब के साथ सामान्य विशेषताएं हैं: बोरलैंड डेल्फ़ी में संकलन और समान पाठ वाली छवियां। इसके अलावा, यह पहला एन्क्रिप्टर है जो 8092-बिट आरएसए कुंजी का उपयोग करता है, जिसका फिर से कोई मतलब नहीं है, क्योंकि 1024-बिट कुंजी सुरक्षा के लिए पर्याप्त है। अंत में, और दिलचस्प बात यह है कि यह स्थानीय टोर प्रॉक्सी सेवा के लिए गलत पोर्ट का उपयोग करने का प्रयास करता है।

हालाँकि, समाधान Acronis बैकअप и यह सच है छवि नेम्टी रैंसमवेयर को उपयोगकर्ता पीसी और डेटा तक पहुंचने से रोकें, और प्रदाता अपने ग्राहकों की सुरक्षा कर सकते हैं Acronis बैकअप क्लाउड. भरा हुआ साइबर सुरक्षा न केवल बैकअप प्रदान करता है, बल्कि सुरक्षा भी प्रदान करता है एक्रोनिस एक्टिव प्रोटेक्शन, कृत्रिम बुद्धिमत्ता और व्यवहार संबंधी अनुमानों पर आधारित एक विशेष तकनीक जो आपको अभी तक अज्ञात मैलवेयर को भी बेअसर करने की अनुमति देती है।

स्रोत: www.habr.com