Wulfric Ransomware - תוכנת כופר שלא קיימת

לפעמים אתה פשוט רוצה להסתכל בעיניו של איזה כותב וירוסים ולשאול: למה ולמה? אנחנו יכולים לענות בעצמנו על השאלה "איך", אבל זה יהיה מאוד מעניין לגלות מה חשב יוצר תוכנות זדוניות זה או אחר. במיוחד כשאנחנו נתקלים ב"פנינים" כאלה.

גיבור המאמר של היום הוא דוגמה מעניינת של קריפטוגרף. זה כנראה נתפס כעוד "תוכנת כופר", אבל היישום הטכני שלה נראה יותר כמו בדיחה אכזרית של מישהו. נדבר על יישום זה היום.

למרבה הצער, זה כמעט בלתי אפשרי להתחקות אחר מחזור החיים של מקודד זה - יש מעט מדי נתונים סטטיסטיים על זה, שכן, למרבה המזל, הוא לא הפך נפוץ. לכן נשאיר את המקור, שיטות ההדבקה והתייחסויות נוספות. בוא נדבר רק על המקרה שלנו של מפגש עם Wulfric Ransomware וכיצד עזרנו למשתמש לשמור את הקבצים שלו.

א. איך הכל התחיל

אנשים שהיו קורבנות של תוכנות כופר פונים לעתים קרובות למעבדת האנטי-וירוס שלנו. אנו מספקים סיוע ללא קשר למוצרי האנטי וירוס שהם התקינו. הפעם פנה אלינו אדם שהקבצים שלו הושפעו ממקודד לא ידוע.

אחר הצהריים טובים קבצים הוצפנו באחסון קבצים (samba4) עם כניסה ללא סיסמה. אני חושד שהזיהום הגיע מהמחשב של בתי (Windows 10 עם הגנת Windows Defender סטנדרטית). המחשב של הבת לא הופעל לאחר מכן. הקבצים מוצפנים בעיקר ב-.jpg ו-.cr2. סיומת קובץ לאחר הצפנה: .aef.

קיבלנו מהמשתמש דוגמאות של קבצים מוצפנים, פתק כופר וקובץ שהוא ככל הנראה המפתח שדרוש למחבר תוכנת הכופר כדי לפענח את הקבצים.

הנה כל הרמזים שלנו:

• 01c.aef (4481K)
• hacked.jpg (254K)
• hacked.txt (0K)
• 04c.aef (6540K)
• pass.key (0K)

בואו נסתכל על הפתק. כמה ביטקוין הפעם?

תרגום:

שימו לב, הקבצים שלכם מוצפנים!
הסיסמה היא ייחודית למחשב האישי שלך.

שלם את הסכום של 0.05 BTC לכתובת הביטקוין: 1ERTRjWAKyG2Edm9nKLLCzd8p1CjjdTiF
לאחר התשלום, שלח לי אימייל וצירף את קובץ pass.key אל [מוגן בדוא"ל] עם הודעת תשלום.

לאחר האישור, אשלח לך מפענח עבור הקבצים.

אתה יכול לשלם עבור ביטקוין באינטרנט בדרכים שונות:
buy.blockexplorer.com - תשלום בכרטיס בנק
www.buybitcoinworldwide.com
localbitcoins.net

על ביטקוין:
en.wikipedia.org/wiki/Bitcoin
אם יש לך שאלות, אנא כתוב לי בכתובת [מוגן בדוא"ל]
כבונוס, אספר לך כיצד המחשב שלך נפרץ וכיצד להגן עליו בעתיד.

זאב יומרני, שנועד להראות לקורבן את חומרת המצב. עם זאת, זה יכול היה להיות גרוע יותר.

אורז. 1. -כבונוס, אני אגיד לך איך להגן על המחשב שלך בעתיד. -נראה חוקי.

II. בואו נתחיל

קודם כל, הסתכלנו על מבנה המדגם שנשלח. באופן מוזר, זה לא נראה כמו קובץ שנפגע מתוכנת כופר. פתח את העורך ההקסדצימלי ותסתכל. 4 הבתים הראשונים מכילים את גודל הקובץ המקורי, 60 הבתים הבאים מלאים באפסים. אבל הדבר המעניין ביותר הוא בסוף:

אורז. 2 נתח את הקובץ הפגום. מה מיד תופס את העין שלך?

הכל התברר כפשוט בצורה מעצבנת: 0x40 בתים מהכותרת הועברו לסוף הקובץ. כדי לשחזר נתונים, פשוט החזר אותם להתחלה. הגישה לקובץ שוחזרה, אבל השם נשאר מוצפן, והדברים הולכים ומסתבכים איתו.

אורז. 3. השם המוצפן ב-Base64 נראה כמו סט תווים משתולל.

בואו ננסה להבין את זה pass.key, שנשלח על ידי המשתמש. בו אנו רואים רצף של 162 בתים של תווי ASCII.

אורז. 4. נותרו 162 תווים במחשב האישי של הקורבן.

אם תסתכלו היטב, תבחינו שהסמלים חוזרים על עצמם בתדירות מסוימת. הדבר עשוי להעיד על שימוש ב-XOR, המתאפיין בחזרות, שתדירותן תלויה באורך המפתח. לאחר שפיצלנו את המחרוזת ל-6 תווים ו-XOR עם כמה גרסאות של רצפי XOR, לא השגנו שום תוצאה משמעותית.

אורז. 5. רואים את הקבועים החוזרים באמצע?

החלטנו לחפש בגוגל קבועים, כי כן, גם זה אפשרי! וכולם הובילו בסופו של דבר לאלגוריתם אחד - הצפנת אצווה. לאחר לימוד התסריט, התברר שהקו שלנו הוא לא יותר מאשר תוצאה של עבודתו. יש להזכיר שזה בכלל לא מוצפן, אלא רק מקודד שמחליף תווים ברצפים של 6 בתים. אין מפתחות או סודות אחרים בשבילך :)

אורז. 6. חלק מהאלגוריתם המקורי של מחבר לא ידוע.

האלגוריתם לא יעבוד כמו שצריך אלמלא פרט אחד:

אורז. 7. מורפיוס אושר.

באמצעות החלפה הפוכה אנו הופכים את המחרוזת pass.key לטקסט של 27 תווים. הטקסט האנושי (ככל הנראה) 'asmodat' ראוי לתשומת לב מיוחדת.

איור.8. USGFDG=7.

גוגל תעזור לנו שוב. לאחר חיפוש קטן, אנו מוצאים פרויקט מעניין ב-GitHub - Folder Locker, שנכתב ב-.Net ומשתמש בספריית 'asmodat' מחשבון Git אחר.

אורז. 9. ממשק Folder Locker. הקפד לבדוק אם יש תוכנות זדוניות.

כלי השירות הוא מוצפן עבור Windows 7 ומעלה, המופץ כקוד פתוח. במהלך ההצפנה, נעשה שימוש בסיסמה, הנחוצה לפענוח הבא. מאפשר לך לעבוד גם עם קבצים בודדים וגם עם ספריות שלמות.

הספרייה שלה משתמשת באלגוריתם ההצפנה הסימטרי Rijndael במצב CBC. ראוי לציין שגודל הבלוק נבחר להיות 256 סיביות - בניגוד לזה שאומץ בתקן AES. באחרון, הגודל מוגבל ל-128 סיביות.

המפתח שלנו נוצר על פי תקן PBKDF2. במקרה זה, הסיסמה היא SHA-256 מהמחרוזת שהוזנה בתוכנית השירות. כל מה שנותר הוא למצוא את המחרוזת הזו כדי ליצור את מפתח הפענוח.

ובכן, בואו נחזור לפענוח שלנו pass.key. זוכרים את השורה הזו עם קבוצת מספרים והטקסט 'asmodat'? בואו ננסה להשתמש ב-20 הבתים הראשונים של המחרוזת כסיסמה עבור Folder Locker.

תראה, זה עובד! מילת הקוד עלתה, והכל פוענח בצורה מושלמת. אם לשפוט לפי התווים בסיסמה, זהו ייצוג HEX של מילה ספציפית ב-ASCII. בואו ננסה להציג את מילת הקוד בצורת טקסט. אנחנו מקבלים 'shadowwolf'. כבר מרגישים את הסימפטומים של ליקנתרופיה?

בואו נסתכל שוב על המבנה של הקובץ המושפע, עכשיו נדע איך הלוקר עובד:

• 02 00 00 00 - מצב הצפנת שם;
• 58 00 00 00 - אורך שם הקובץ המוצפן והמקודד base64;
• 40 00 00 00 - גודל הכותרת המועברת.

השם המוצפן עצמו והכותרת המועברת מסומנים באדום ובצהוב, בהתאמה.

אורז. 10. השם המוצפן מסומן באדום, הכותרת המועברת מסומנת בצהוב.

כעת נשווה את השמות המוצפנים והמפוענחים בייצוג הקסדצימלי.

מבנה של נתונים מפוענחים:

• 78 B9 B8 2E - זבל שנוצר על ידי השירות (4 בתים);
• 0С 00 00 00 - אורך השם המפוענח (12 בתים);
• לאחר מכן מגיע שם הקובץ בפועל וריפוד עם אפסים לאורך הבלוק הנדרש (ריפוד).

אורז. 11. IMG_4114 נראה הרבה יותר טוב.

III. מסקנות ומסקנה

בחזרה להתחלה. איננו יודעים מה הניע את המחבר של Wulfric.Ransomware ואיזו מטרה הוא רדף. כמובן, עבור המשתמש הממוצע, התוצאה של עבודתו של אפילו מוצפן כזה תיראה כמו אסון גדול. קבצים לא נפתחים. כל השמות נעלמו. במקום התמונה הרגילה, יש זאב על המסך. הם מכריחים אותך לקרוא על ביטקוין.

נכון, הפעם, במסווה של "מקודד נורא", הסתתר ניסיון סחיטה מגוחך ומטופש שכזה, שבו התוקף משתמש בתוכנות מוכנות ומשאיר את המפתחות ממש בזירת הפשע.

אגב, לגבי המפתחות. לא היה לנו סקריפט זדוני או טרויאני שיכול לעזור לנו להבין איך זה קרה. pass.key - המנגנון שבו הקובץ מופיע במחשב נגוע נותר לא ידוע. אבל, אני זוכר, בהערתו הזכיר המחבר את ייחודה של הסיסמה. אז, מילת הקוד לפענוח היא ייחודית כמו ששם המשתמש Shadow Wolf הוא ייחודי :)

ובכל זאת, זאב צל, למה ולמה?

מקור: www.habr.com