מגיפה דיגיטלית: קורונה וירוס נגד CoViper

על רקע מגיפת הקורונה, יש תחושה שמגיפה דיגיטלית בקנה מידה גדול לא פחות פרצה במקביל לה. [1]. קצב הגידול במספר אתרי התחזות, דואר זבל, משאבי הונאה, תוכנות זדוניות ופעילות זדונית דומה מעורר חששות רציניים. את היקף ההפקרות המתמשכת מעידה הידיעה כי "סחטנים מבטיחים לא לתקוף מוסדות רפואיים" [2]. כן, זה נכון: אלה שמגנים על חייהם ובריאותם של אנשים במהלך המגיפה נתונים גם להתקפות תוכנות זדוניות, כפי שהיה במקרה בצ'כיה, שם תוכנת הכופר CoViper שיבשה את עבודתם של כמה בתי חולים [3].
יש רצון להבין מהי תוכנות כופר המנצלות את נושא הקורונה ומדוע הן מופיעות כל כך מהר. ברשת נמצאו דגימות תוכנות זדוניות - CoViper ו-CoronaVirus, שתקפו מחשבים רבים, כולל בבתי חולים ציבוריים ובמרכזים רפואיים.
שני קבצי ההפעלה הללו הם בפורמט Portable Executable, מה שמרמז שהם מכוונים ל-Windows. הם גם מורכבים עבור x86. ראוי לציין שהם מאוד דומים זה לזה, רק CoViper כתוב בדלפי, כפי שמעיד תאריך הקומפילציה של 19 ביוני 1992 ושמות המדורים, ו-CoronaVirus ב-C. שניהם נציגים של מוצפנים.
תוכנות כופר או תוכנות כופר הן תוכנות שברגע שהן נמצאות במחשב של הקורבן, מצפינות קבצי משתמש, משבשות את תהליך האתחול הרגיל של מערכת ההפעלה ומודיעות למשתמש שהוא צריך לשלם לתוקפים כדי לפענח אותה.
לאחר הפעלת התוכנית, היא מחפשת קבצי משתמש במחשב ומצפינה אותם. הם מבצעים חיפושים באמצעות פונקציות API סטנדרטיות, שניתן למצוא בקלות דוגמאות לשימוש ב-MSDN [4].

איור.1 חפש קבצי משתמש

לאחר זמן מה, הם מאתחלים את המחשב ומציגים הודעה דומה על המחשב הנחסם.

איור 2 הודעת חסימה

כדי לשבש את תהליך האתחול של מערכת ההפעלה, תוכנת כופר משתמשת בטכניקה פשוטה של ​​שינוי רשומת האתחול (MBR) [5] באמצעות Windows API.

איור 3 שינוי רשומת האתחול

שיטה זו של חילוץ מחשב משמשת תוכנות כופר רבות אחרות: SmartRansom, Maze, ONI Ransomware, Bioskits, MBRlock Ransomware, HDDCryptor Ransomware, RedBoot, UselessDisk. היישום של שכתוב MBR זמין לציבור הרחב עם הופעת קודי מקור עבור תוכניות כגון MBR Locker באינטרנט. מאשר זאת ב-GitHub [6] אתה יכול למצוא מספר עצום של מאגרים עם קוד מקור או פרויקטים מוכנים עבור Visual Studio.
קומפילציה של קוד זה מ-GitHub [7], התוצאה היא תוכנית שמנטרלת את המחשב של המשתמש תוך מספר שניות. וזה לוקח בערך חמש או עשר דקות להרכיב אותו.
מסתבר שכדי להרכיב תוכנות זדוניות אינך צריך להיות בעל כישורים או משאבים גדולים; כל אחד, בכל מקום, יכול לעשות זאת. הקוד זמין בחינם באינטרנט וניתן לשכפל אותו בקלות בתוכנות דומות. זה גורם לי לחשוב. מדובר בבעיה חמורה הדורשת התערבות ונקיטת אמצעים מסוימים.

מקור: www.habr.com