A volte si ha voglia di guardare negli occhi un autore di virus e chiedere: perché? Per quanto riguarda la domanda 'come', ce la caviamo da soli, ma sarebbe molto interessante sapere cosa pensava il creatore di un determinato malware. Soprattutto quando ci imbattiamo in tali 'gemme'.
Il protagonista dell'articolo di oggi è un esemplare interessante di ransomware. Sembra essere stato concepito come un altro 'estortore', ma la sua realizzazione tecnica somiglia più a uno scherzo di cattivo gusto. Di questa realizzazione parleremo oggi.
Sfortunatamente, tracciare il ciclo di vita di questo encoder è praticamente impossibile: ci sono pochissime statistiche al riguardo, data la sua scarsa diffusione, fortunatamente. Pertanto, lasceremo da parte l'origine, i metodi di infezione e altre menzioni. Racconteremo solo del nostro incontro con Wulfric Ransomware e di come abbiamo aiutato un utente a salvare i suoi file.
I. Come è iniziato tutto
Nel nostro laboratorio antivirus, riceviamo frequentemente richieste da persone colpite da ransomware. Offriamo assistenza indipendentemente dai prodotti antivirus installati. Questa volta, ci ha contattato una persona i cui file sono stati colpiti da un encoder sconosciuto.
Buongiorno! I file su uno storage (samba4) sono stati criptati senza accesso protetto. Sospetto che l'infezione sia provenuta dal computer di mia figlia (Windows 10 con protezione di Windows Defender). Il computer di mia figlia non è stato acceso dopo questo evento. I file sono criptati principalmente in .jpg e .cr2. L'estensione dei file dopo la criptazione: .aef.
Abbiamo ricevuto dall'utente dei campioni di file criptati, un appunto di riscatto e un file che probabilmente è la chiave necessaria all'autore del ransomware per decriptare i file.
Ecco tutti i nostri indizi:
- 01c.aef (4481K)
- hacked.jpg (254K)
- hacked.txt (0K)
- 04c.aef (6540K)
- pass.key (0K)
Diamo un'occhiata all'appunto. Quanti bitcoin questa volta?
Traduzione:
Attenzione, i vostri file sono stati criptati!
la chiave è unica per il vostro PC.Pagate la somma di 0.05 BTC all'indirizzo bitcoin: 1ERtRjWAKyG2Edm9nKLLCzd8p1CjjdTiF
Dopo il pagamento, inviatemi un'email allegando il file pass.key a Wulfric@gmx.com con la notifica di pagamento.Dopo la conferma, ti invierò il decrittore per i file.
Puoi pagare i bitcoin online in diversi modi:
— pagamento con carta di credito
Informazioni sui bitcoin:
Se hai domande, scrivimi a Wulfric@gmx.com
Come bonus, ti spiegherò come è stato compromesso il tuo computer e come proteggerlo in futuro.
Un lupo pomposo, chiamato a mostrare alla vittima la serietà della situazione. Tuttavia, avrebbe potuto andare peggio.
Fig. 1. - Come bonus, ti dirò come proteggere il tuo computer in futuro. – Sembra legittimo.
II. Iniziamo a lavorare
Per prima cosa, abbiamo dato un'occhiata alla struttura del campione inviato. Stranamente, non sembrava un file danneggiato dal ransomware. Apriamo l'editor esadecimale e controlliamo. Nei primi 4 byte c'è la dimensione originale del file, i successivi 60 byte sono riempiti di zeri. Ma la parte più interessante si trova alla fine:
Fig. 2 Analizziamo il file danneggiato. Cosa salta subito all'occhio?
Tutto si è rivelato sorprendentemente semplice: 0x40 byte dall'intestazione sono stati spostati alla fine del file. Per ripristinare i dati, basta semplicemente riportarli all'inizio. L'accesso al file è stato ripristinato, ma il nome rimane crittografato, e questo complica le cose.
Fig. 3. Il nome crittografato in Base64 appare come una sequenza di caratteri senza senso.
Proviamo a analizzare pass.key, inviato dall'utente. In esso vediamo una sequenza di 162 byte di caratteri in ASCII.
Fig. 4. 162 caratteri, lasciati sul PC della vittima.
Se si osserva attentamente, si può notare che i caratteri si ripetono con una certa periodicità. Questo potrebbe indicare l'uso di XOR, dove le ripetizioni sono caratteristiche e la frequenza dipende dalla lunghezza della chiave. Spezzando la stringa in 6 caratteri e applicando XOR con alcune sequenze di XOR, non abbiamo ottenuto alcun risultato significativo.
Fig. 5. Vedi le costanti che si ripetono nel mezzo?
Abbiamo deciso di cercare le costanti, perché sì, è possibile! E tutte alla fine hanno portato a un unico algoritmo: Batch Encryption. Dopo aver studiato lo script, è chiaro che la nostra stringa non è altro che il risultato del suo lavoro. Va detto che non si tratta affatto di un crittografo, ma semplicemente di un codificatore che sostituisce i caratteri con sequenze di 6 byte. Nessuna chiave o altri segreti 🙁
Fig. 6. Un segmento dell'algoritmo originale di autore ignoto.
L'algoritmo non funzionerebbe correttamente se non fosse per un dettaglio:
Fig. 7. Approvato da Morpheus.
Con la sostituzione inversa trasformiamo la stringa da pass.key in un testo di 27 caratteri. Merita particolare attenzione il testo umano (probabilmente) 'asmodat'.
Fig. 8. USGFDG=7.
Google ci aiuterà ancora. Dopo una breve ricerca, troviamo un progetto interessante su GitHub: Folder Locker, scritto in .Net e che utilizza la libreria 'asmodat' da un altro account su 'Git'.
Fig. 9. Interfaccia di Folder Locker. Controllato per malware.
L'utilità è un encryptor per Windows 7 e versioni successive, distribuito con codice sorgente aperto. Durante la crittografia viene utilizzata una password necessaria per la successiva decrittazione. Permette di lavorare sia con singoli file che con intere directory.
La sua libreria utilizza l'algoritmo di crittografia simmetrica Rijndael in modalità CBC. È interessante notare che la dimensione del blocco è stata scelta pari a 256 bit, a differenza di quanto stabilito dallo standard AES, dove la dimensione è limitata a 128 bit.
La nostra chiave è formata secondo lo standard PBKDF2. In questo caso, la password è rappresentata dallo SHA-256 della stringa inserita nell'utilità. Rimane solo trovare questa stringa per generare la chiave di decrittazione.
Bene, torniamo al nostro già decriptato pass.key. Ricordi quella riga con la serie di numeri e il testo ‘asmodat’? Proviamo a utilizzare i primi 20 byte della stringa come password per Folder Locker.
Guarda, funziona! La parola chiave è corretta e tutto si è decriptato perfettamente. A giudicare dai simboli della password, si tratta della rappresentazione HEX di una determinata parola in ASCII. Proviamo a visualizzare la parola chiave in formato testuale. Otteniamo ‘shadowwolf’. Cominci a sentire i sintomi della licantropia?
Rivediamo la struttura del file compromesso, ora che conosciamo il meccanismo di funzionamento del locker:
- 02 00 00 00 – modalità di crittografia dei nomi;
- 58 00 00 00 – lunghezza del nome file crittografato e codificato in base64;
- 40 00 00 00 – dimensione dell'intestazione trasferita.
In rosso e giallo sono evidenziati il nome crittografato e l'intestazione trasferita rispettivamente.
Fig. 10. In rosso è evidenziato il nome crittografato, in giallo l'intestazione trasferita.
Ora confrontiamo i nomi crittografati e decrittografati in rappresentazione esadecimale.
Struttura dei dati decrittografati:
- 78 B9 B8 2E – spazzatura creata dall'utility (4 byte);
- 0C 00 00 00 – lunghezza del nome decrittografato (12 byte);
- segue poi, in effetti, il nome del file e il riempimento con zeri fino alla lunghezza del blocco richiesta (padding).
Fig. 11. IMG_4114 appare decisamente meglio.
III. Conclusioni e considerazioni finali
Tornando al punto di partenza. Non sappiamo quali siano state le motivazioni dell'autore Wulfric.Ransomware e quale obiettivo avesse. Certamente, per l'utente medio, il risultato del lavoro di un simile ransomware apparirà come una grande tragedia. I file non si aprono. Tutti i nomi sono scomparsi. Invece della solita immagine, appare un lupo sullo schermo. Ci costringono a leggere riguardo ai bitcoin.
Tuttavia, questa volta, sotto le spoglie di un 'terribile encoder', si nascondeva un tentativo così ridicolo e insensato di estorsione, dove il malintenzionato utilizza programmi preconfezionati e lascia le chiavi proprio sul luogo del delitto.
A proposito di chiavi. Non avevamo alcuno script dannoso o trojan che ci consentisse di capire come fosse emerso questo pass.key – il meccanismo di apparizione del file sul PC infetto rimane ignoto. Ma, ricordo, nella sua nota, l'autore faceva riferimento all'unicità della password. Quindi, la parola chiave per la decrittazione è unica quanto lo è il nome utente shadow wolf 🙂
Eppure, shadow wolf, perché e per quale motivo?
Fonte: habr.com
