ციფრული ეპიდემია: CoronaVirus vs CoViper

კორონავირუსის პანდემიის ფონზე ჩნდება განცდა, რომ მის პარალელურად იფეთქება თანაბრად მასშტაბური ციფრული ეპიდემია. [1]. ფიშინგის საიტების, სპამის, თაღლითური რესურსების, მავნე პროგრამების და მსგავსი მავნე აქტივობების რაოდენობის ზრდის ტემპი სერიოზულ შეშფოთებას იწვევს. მიმდინარე უკანონობის მასშტაბებზე მიუთითებს ახალი ამბავი, რომ „გამომძალველები ჰპირდებიან, რომ სამედიცინო დაწესებულებებზე თავს არ დაესხმებიან“. [2]. დიახ, ეს ასეა: ისინი, ვინც იცავს ადამიანების სიცოცხლეს და ჯანმრთელობას პანდემიის დროს, ასევე ექვემდებარება მავნე პროგრამების შეტევებს, როგორც ეს მოხდა ჩეხეთის რესპუბლიკაში, სადაც CoViper-ის გამოსასყიდმა პროგრამამ შეაფერხა რამდენიმე საავადმყოფოს მუშაობა. [3].
არსებობს სურვილი, გავიგოთ, რა არის გამოსასყიდი პროგრამა, რომელიც იყენებს კორონავირუსის თემას და რატომ ჩნდება ისინი ასე სწრაფად. ქსელში ნაპოვნი იქნა მავნე პროგრამების ნიმუშები - CoViper და CoronaVirus, რომლებიც თავს დაესხნენ ბევრ კომპიუტერს, მათ შორის საჯარო საავადმყოფოებსა და სამედიცინო ცენტრებს.
ორივე ეს შესრულებადი ფაილი არის პორტატული შესრულებადი ფორმატში, რაც ვარაუდობს, რომ ისინი გამიზნულია Windows-ზე. ისინი ასევე შედგენილია x86-ისთვის. აღსანიშნავია, რომ ისინი ძალიან ჰგვანან ერთმანეთს, მხოლოდ CoViper წერია დელფში, რასაც მოწმობს შედგენის თარიღი 19 წლის 1992 ივნისი და განყოფილებების სახელები, ხოლო CoronaVirus C. ორივე შიფრატორის წარმომადგენელია.
Ransomware ან ransomware არის პროგრამები, რომლებიც, ერთხელ დაზარალებულის კომპიუტერში, შიფრავს მომხმარებლის ფაილებს, არღვევს ოპერაციული სისტემის ნორმალურ ჩატვირთვის პროცესს და აცნობებს მომხმარებელს, რომ მას უნდა გადაუხადოს თავდამსხმელებს მისი გაშიფვრისთვის.
პროგრამის გაშვების შემდეგ ის ეძებს მომხმარებლის ფაილებს კომპიუტერში და შიფრავს მათ. ისინი ასრულებენ ძიებას სტანდარტული API ფუნქციების გამოყენებით, რომელთა გამოყენების მაგალითები მარტივად შეგიძლიათ იხილოთ MSDN-ზე [4].

ნახ.1 მომხმარებლის ფაილების ძიება

გარკვეული პერიოდის შემდეგ ისინი გადატვირთავენ კომპიუტერს და აჩვენებენ მსგავს შეტყობინებას კომპიუტერის დაბლოკვის შესახებ.

ნახ.2 დაბლოკვის შეტყობინება

ოპერაციული სისტემის ჩატვირთვის პროცესის შესაფერხებლად, გამოსასყიდი იყენებს ჩატვირთვის ჩანაწერის (MBR) შეცვლის მარტივ ტექნიკას. [5] Windows API-ის გამოყენებით.

ნახ.3 ჩატვირთვის ჩანაწერის მოდიფიკაცია

კომპიუტერის ექსფილტრაციის ამ მეთოდს იყენებს მრავალი სხვა გამოსასყიდი პროგრამა: SmartRansom, Maze, ONI Ransomware, Bioskits, MBRlock Ransomware, HDDCryptor Ransomware, RedBoot, UselessDisk. MBR გადაწერის განხორციელება ხელმისაწვდომია ფართო საზოგადოებისთვის იმ პროგრამებისთვის, როგორიცაა MBR Locker ონლაინ წყაროს კოდების გამოჩენით. ამის დადასტურება GitHub-ზე [6] შეგიძლიათ იპოვოთ დიდი რაოდენობით საცავი წყაროს კოდით ან მზა პროექტებით Visual Studio-სთვის.
ამ კოდის შედგენა GitHub-დან [7], შედეგი არის პროგრამა, რომელიც გამორთავს მომხმარებლის კომპიუტერს რამდენიმე წამში. და მის აწყობას დაახლოებით ხუთი ან ათი წუთი სჭირდება.
გამოდის, რომ მავნე მავნე პროგრამის აწყობისთვის არ არის საჭირო დიდი უნარები ან რესურსები; ნებისმიერს, ნებისმიერ ადგილას შეუძლია ამის გაკეთება. კოდი თავისუფლად არის ხელმისაწვდომი ინტერნეტში და ადვილად შეიძლება მისი რეპროდუცირება მსგავს პროგრამებში. ეს მაფიქრებს. ეს არის სერიოზული პრობლემა, რომელიც საჭიროებს ჩარევას და გარკვეული ზომების მიღებას.

წყარო: www.habr.com