Wulfric Ransomware - ransomware ដែលមិនមាន

ពេលខ្លះអ្នកគ្រាន់តែចង់មើលទៅក្នុងភ្នែករបស់អ្នកសរសេរមេរោគមួយចំនួន ហើយសួរថាៈ ហេតុអ្វី និងហេតុអ្វី? យើងអាចឆ្លើយសំណួរ "របៀប" ដោយខ្លួនឯងបាន ប៉ុន្តែវាគួរឱ្យចាប់អារម្មណ៍ណាស់ក្នុងការស្វែងយល់ថាតើអ្នកបង្កើតមេរោគនេះ ឬអ្នកបង្កើតមេរោគកំពុងគិតយ៉ាងណា។ ជាពិសេសនៅពេលដែលយើងជួប "គុជខ្យង" បែបនេះ។

វីរបុរសនៃអត្ថបទថ្ងៃនេះគឺជាឧទាហរណ៍គួរឱ្យចាប់អារម្មណ៍នៃអ្នកសរសេរកូដសម្ងាត់។ ជាក់ស្តែងវាត្រូវបានចាត់ទុកថាគ្រាន់តែជា "ransomware" មួយផ្សេងទៀត ប៉ុន្តែការអនុវត្តបច្ចេកទេសរបស់វាមើលទៅដូចជារឿងកំប្លែងដ៏ឃោរឃៅរបស់នរណាម្នាក់។ យើងនឹងនិយាយអំពីការអនុវត្តនេះនៅថ្ងៃនេះ។

ជាអកុសល វាស្ទើរតែមិនអាចទៅរួចទេក្នុងការតាមដានវដ្តជីវិតរបស់ឧបករណ៍បំប្លែងកូដនេះ - មានស្ថិតិតិចតួចពេកនៅលើវា ដោយសារជាសំណាងល្អ វាមិនរីករាលដាលទេ។ ដូច្នេះ យើងនឹងចាកចេញពីប្រភពដើម វិធីសាស្រ្តនៃការឆ្លង និងឯកសារយោងផ្សេងៗទៀត។ សូមនិយាយអំពីករណីរបស់យើងក្នុងការជួបជាមួយ Wulfric Ransomware និងរបៀបដែលយើងបានជួយអ្នកប្រើប្រាស់រក្សាទុកឯកសាររបស់គាត់។

I. របៀបដែលវាបានចាប់ផ្តើម

អ្នកដែលធ្លាប់ជាជនរងគ្រោះនៃមេរោគ ransomware ជារឿយៗទាក់ទងមន្ទីរពិសោធន៍ប្រឆាំងមេរោគរបស់យើង។ យើងផ្តល់ជំនួយដោយមិនគិតពីផលិតផលកំចាត់មេរោគអ្វីដែលពួកគេបានដំឡើងនោះទេ។ លើក​នេះ​យើង​ត្រូវ​បាន​ទាក់ទង​ដោយ​មនុស្ស​ម្នាក់​ដែល​ឯកសារ​ត្រូវ​បាន​ប៉ះពាល់​ដោយ​ឧបករណ៍​បំប្លែង​ដែល​មិន​ស្គាល់។

អរុណសួស្តី ឯកសារត្រូវបានអ៊ិនគ្រីបនៅលើកន្លែងផ្ទុកឯកសារ (samba4) ជាមួយនឹងការចូលដោយគ្មានពាក្យសម្ងាត់។ ខ្ញុំសង្ស័យថាការឆ្លងបានមកពីកុំព្យូទ័ររបស់កូនស្រីខ្ញុំ (Windows 10 ជាមួយនឹងការការពារ Windows Defender ស្តង់ដារ)។ បន្ទាប់ពីនោះកុំព្យូទ័ររបស់កូនស្រីមិនបើកទេ។ ឯកសារត្រូវបានអ៊ិនគ្រីបជាចម្បង .jpg និង .cr2 ។ ផ្នែកបន្ថែមឯកសារបន្ទាប់ពីការអ៊ិនគ្រីប៖ .aef ។

យើងបានទទួលពីគំរូអ្នកប្រើប្រាស់នៃឯកសារដែលបានអ៊ិនគ្រីប កំណត់ចំណាំតម្លៃលោះ និងឯកសារដែលទំនងជាគន្លឹះដែលអ្នកនិពន្ធ ransomware ត្រូវការដើម្បីឌិគ្រីបឯកសារ។

នេះជាតម្រុយរបស់យើងទាំងអស់៖

• 01c.aef (4481K)
• hacked.jpg (254K)
• hacked.txt (0K)
• 04c.aef (6540K)
• pass.key (0K)

តោះមើលចំណាំ។ តើពេលនេះ bitcoins ប៉ុន្មាន?

ការបកប្រែ៖

យកចិត្តទុកដាក់ ឯកសាររបស់អ្នកត្រូវបានអ៊ិនគ្រីប!
ពាក្យសម្ងាត់គឺមានតែមួយគត់សម្រាប់កុំព្យូទ័ររបស់អ្នក។

បង់ចំនួន 0.05 BTC ទៅអាសយដ្ឋាន Bitcoin៖ 1ERtRjWAKyG2Edm9nKLLCzd8p1CjjdTiF
បន្ទាប់ពីការទូទាត់ សូមផ្ញើអ៊ីមែលមកខ្ញុំ ដោយភ្ជាប់ឯកសារ pass.key ទៅ [អ៊ីមែលការពារ] ជាមួយនឹងការជូនដំណឹងអំពីការទូទាត់។

បន្ទាប់ពីការបញ្ជាក់ ខ្ញុំនឹងផ្ញើអ្នកឌិគ្រីបសម្រាប់ឯកសារ។

អ្នកអាចបង់ប្រាក់សម្រាប់ bitcoins តាមអ៊ីនធឺណិតតាមវិធីផ្សេងៗគ្នា៖
buy.blockexplorer.com - ការទូទាត់ដោយកាតធនាគារ
www.buybitcoinworldwide.com
localbitcoins.net

អំពី Bitcoins៖
en.wikipedia.org/wiki/Bitcoin
ប្រសិនបើអ្នកមានសំណួរសូមសរសេរមកខ្ញុំនៅ [អ៊ីមែលការពារ]
ជាប្រាក់រង្វាន់ ខ្ញុំនឹងប្រាប់អ្នកពីរបៀបដែលកុំព្យូទ័ររបស់អ្នកត្រូវបានគេលួចចូល និងរបៀបការពារវានៅពេលអនាគត។

ចចក​ដែល​មាន​ពុតត្បុត ដែល​រចនា​ឡើង​ដើម្បី​បង្ហាញ​ជនរងគ្រោះ​អំពី​ស្ថានភាព​ធ្ងន់ធ្ងរ។ ទោះយ៉ាងណាក៏ដោយ វាអាចកាន់តែអាក្រក់ទៅៗ។

អង្ករ។ 1. - ជាប្រាក់រង្វាន់ ខ្ញុំនឹងប្រាប់អ្នកពីរបៀបការពារកុំព្យូទ័ររបស់អ្នកនាពេលអនាគត។ -ដូចជា​ត្រូវ។

II. តោះ​ចាប់ផ្តើម

ដំបូងយើងពិនិត្យមើលរចនាសម្ព័ន្ធនៃគំរូដែលបានផ្ញើ។ ចម្លែកគ្រប់គ្រាន់ វាមិនមើលទៅដូចជាឯកសារដែលត្រូវបានបំផ្លាញដោយ ransomware ទេ។ បើកកម្មវិធីនិពន្ធគោលដប់ប្រាំមួយ ហើយមើល។ 4 បៃដំបូងមានទំហំឯកសារដើម 60 បៃបន្ទាប់ត្រូវបានបំពេញដោយសូន្យ។ ប៉ុន្តែអ្វីដែលគួរឱ្យចាប់អារម្មណ៍បំផុតគឺនៅចុងបញ្ចប់៖

អង្ករ។ 2 វិភាគឯកសារដែលខូច។ អ្វី​ដែល​ចាប់​ភ្នែក​អ្នក​ភ្លាម?

អ្វីគ្រប់យ៉ាងប្រែទៅជាសាមញ្ញគួរឱ្យរំខាន: 0x40 បៃពីបឋមកថាត្រូវបានផ្លាស់ទីទៅចុងបញ្ចប់នៃឯកសារ។ ដើម្បីស្ដារទិន្នន័យឡើងវិញ គ្រាន់តែត្រឡប់វាទៅដើមវិញ។ ការចូលប្រើឯកសារត្រូវបានស្ដារឡើងវិញ ប៉ុន្តែឈ្មោះនៅតែត្រូវបានអ៊ិនគ្រីប ហើយអ្វីៗកាន់តែស្មុគស្មាញជាមួយវា។

អង្ករ។ 3. ឈ្មោះដែលបានអ៊ិនគ្រីបក្នុង Base64 មើលទៅដូចជាសំណុំតួអក្សរ។

ចូរយើងព្យាយាមស្វែងយល់ pass.keyបានដាក់ជូនដោយអ្នកប្រើប្រាស់។ នៅក្នុងវាយើងឃើញលំដាប់ 162 បៃនៃតួអក្សរ ASCII ។

អង្ករ។ 4. 162 តួអក្សរដែលនៅសល់នៅលើកុំព្យូទ័ររបស់ជនរងគ្រោះ។

ប្រសិនបើអ្នកក្រឡេកមើលឱ្យជិត អ្នកនឹងសម្គាល់ឃើញថា និមិត្តសញ្ញាត្រូវបានធ្វើម្តងទៀតជាមួយនឹងប្រេកង់ជាក់លាក់មួយ។ នេះអាចបង្ហាញពីការប្រើប្រាស់ XOR ដែលត្រូវបានកំណត់លក្ខណៈដោយពាក្យដដែលៗ ប្រេកង់ដែលអាស្រ័យលើប្រវែងគន្លឹះ។ ដោយបានបំបែកខ្សែអក្សរទៅជា 6 តួអក្សរ និង XOR ជាមួយនឹងវ៉ារ្យ៉ង់មួយចំនួននៃលំដាប់ XOR យើងមិនទទួលបានលទ្ធផលដ៏មានន័យណាមួយឡើយ។

អង្ករ។ 5. ឃើញថេរដដែលៗនៅកណ្តាល?

យើងបានសម្រេចចិត្តទៅ google constants ព្រោះបាទ វាអាចទៅរួចដែរ! ហើយពួកគេទាំងអស់នៅទីបំផុតនាំទៅរកក្បួនដោះស្រាយមួយ - ការអ៊ិនគ្រីបជាបាច់។ បន្ទាប់ពីសិក្សាស្គ្រីបវាច្បាស់ថាបន្ទាត់របស់យើងគឺគ្មានអ្វីក្រៅពីលទ្ធផលនៃការងាររបស់វា។ វាគួរតែត្រូវបានលើកឡើងថានេះមិនមែនជាឧបករណ៍បំលែងកូដទាល់តែសោះ ប៉ុន្តែគ្រាន់តែជាកម្មវិធីបំប្លែងកូដដែលជំនួសតួអក្សរដោយលំដាប់ 6 បៃ។ គ្មានសោ ឬអាថ៌កំបាំងផ្សេងទៀតសម្រាប់អ្នក :)

អង្ករ។ 6. បំណែកនៃក្បួនដោះស្រាយដើមនៃភាពជាអ្នកនិពន្ធដែលមិនស្គាល់។

ក្បួនដោះស្រាយនឹងមិនដំណើរការដូចដែលវាគួរតែទេ ប្រសិនបើមិនមានព័ត៌មានលម្អិតមួយ៖

អង្ករ។ 7. Morpheus បានអនុម័ត។

ដោយប្រើការជំនួសបញ្ច្រាស យើងបំលែងខ្សែអក្សរពី pass.key នៅក្នុងអត្ថបទដែលមាន 27 តួអក្សរ។ អត្ថបទ 'asmodat' របស់មនុស្ស (ទំនងបំផុត) សមនឹងទទួលបានការយកចិត្តទុកដាក់ជាពិសេស។

រូប ៨. USGFDG=8.

Google នឹងជួយយើងម្តងទៀត។ បន្ទាប់ពីការស្វែងរកតិចតួច យើងរកឃើញគម្រោងគួរឱ្យចាប់អារម្មណ៍មួយនៅលើ GitHub - Folder Locker ដែលសរសេរក្នុង .Net និងប្រើប្រាស់បណ្ណាល័យ 'asmodat' ពីគណនី Git ផ្សេងទៀត។

អង្ករ។ 9. ចំណុចប្រទាក់ Folder Locker ។ ត្រូវប្រាកដថាពិនិត្យមើលមេរោគ។

ឧបករណ៍ប្រើប្រាស់គឺជាកម្មវិធីអ៊ិនគ្រីបសម្រាប់ Windows 7 និងខ្ពស់ជាងនេះ ដែលត្រូវបានចែកចាយជាប្រភពបើកចំហ។ កំឡុងពេលអ៊ិនគ្រីប ពាក្យសម្ងាត់ត្រូវបានប្រើ ដែលចាំបាច់សម្រាប់ការឌិគ្រីបជាបន្តបន្ទាប់។ អនុញ្ញាតឱ្យអ្នកធ្វើការទាំងជាមួយឯកសារនីមួយៗ និងជាមួយថតទាំងមូល។

បណ្ណាល័យរបស់វាប្រើក្បួនដោះស្រាយការអ៊ិនគ្រីបស៊ីមេទ្រី Rijndael នៅក្នុងរបៀប CBC ។ វាគួរឱ្យកត់សម្គាល់ថាទំហំប្លុកត្រូវបានជ្រើសរើសជា 256 ប៊ីត - ផ្ទុយទៅនឹងការអនុម័តនៅក្នុងស្តង់ដារ AES ។ ក្រោយមកទៀត ទំហំត្រូវបានកំណត់ត្រឹម 128 ប៊ីត។

សោរបស់យើងត្រូវបានបង្កើតតាមស្តង់ដារ PBKDF2។ ក្នុងករណីនេះពាក្យសម្ងាត់គឺ SHA-256 ពីខ្សែអក្សរដែលបានបញ្ចូលក្នុងឧបករណ៍ប្រើប្រាស់។ អ្វីដែលនៅសេសសល់គឺត្រូវស្វែងរកខ្សែអក្សរនេះដើម្បីបង្កើតសោរឌិគ្រីប។

ជាការប្រសើរណាស់ សូមត្រលប់ទៅការឌិកូដរួចហើយរបស់យើង។ pass.key. ចងចាំបន្ទាត់នោះជាមួយនឹងសំណុំលេខ និងអត្ថបទ 'asmodat'? តោះព្យាយាមប្រើ 20 បៃដំបូងនៃខ្សែអក្សរជាពាក្យសម្ងាត់សម្រាប់ Folder Locker ។

មើលវាដំណើរការ! ពាក្យ​កូដ​បាន​កើត​ឡើង ហើយ​អ្វី​គ្រប់​យ៉ាង​ត្រូវ​បាន​ឌិគ្រីប​យ៉ាង​ល្អ​ឥត​ខ្ចោះ។ ដោយវិនិច្ឆ័យដោយតួអក្សរនៅក្នុងពាក្យសម្ងាត់វាគឺជាតំណាង HEX នៃពាក្យជាក់លាក់មួយនៅក្នុង ASCII ។ ចូរយើងព្យាយាមបង្ហាញពាក្យកូដក្នុងទម្រង់អត្ថបទ។ យើង​ទទួល​បាន 'ឆ្កែចចក' មានអារម្មណ៍ថាមានរោគសញ្ញានៃ lycanthropy ទេ?

សូមក្រឡេកមើលរចនាសម្ព័ននៃឯកសារដែលរងផលប៉ះពាល់មួយទៀត ឥឡូវនេះដឹងពីរបៀបដែល locker ដំណើរការ៖

• 02 00 00 00 - របៀបអ៊ិនគ្រីបឈ្មោះ;
• 58 00 00 00 - ប្រវែងនៃឈ្មោះឯកសារដែលបានអ៊ិនគ្រីប និង base64;
• 40 00 00 00 - ទំហំនៃបឋមកថាដែលបានផ្ទេរ។

ឈ្មោះដែលបានអ៊ិនគ្រីបខ្លួនវា និងបឋមកថាដែលបានផ្ទេរត្រូវបានបន្លិចជាពណ៌ក្រហម និងលឿងរៀងៗខ្លួន។

អង្ករ។ 10. ឈ្មោះដែលបានអ៊ិនគ្រីបត្រូវបានបន្លិចជាពណ៌ក្រហម បឋមកថាដែលបានផ្ទេរត្រូវបានបន្លិចជាពណ៌លឿង។

ឥឡូវនេះ ចូរយើងប្រៀបធៀបឈ្មោះដែលបានអ៊ិនគ្រីប និងឌិគ្រីបនៅក្នុងតំណាងគោលដប់ប្រាំមួយ។

រចនាសម្ព័ន្ធនៃទិន្នន័យដែលបានឌិគ្រីប៖

• 78 B9 B8 2E - សំរាមដែលបង្កើតឡើងដោយឧបករណ៍ប្រើប្រាស់ (4 បៃ);
• 0S 00 00 00 - ប្រវែងនៃឈ្មោះដែលបានឌិគ្រីប (12 បៃ);
• បន្ទាប់​មក​ឈ្មោះ​ឯកសារ​ពិត​ប្រាកដ និង​ទ្រនាប់​ដោយ​លេខ​សូន្យ​ទៅ​នឹង​ប្រវែង​ប្លុក​ដែល​ត្រូវ​ការ (ទ្រនាប់)។

អង្ករ។ 11. IMG_4114 មើលទៅល្អជាង។

III. សេចក្តីសន្និដ្ឋាន និងសេចក្តីសន្និដ្ឋាន

ត្រលប់ទៅការចាប់ផ្តើម។ យើងមិនដឹងថាអ្វីដែលជំរុញទឹកចិត្តអ្នកនិពន្ធនៃ Wulfric.Ransomware និងអ្វីដែលគាត់បានបន្តគោលដៅ។ ជាការពិតណាស់ សម្រាប់អ្នកប្រើប្រាស់ជាមធ្យម លទ្ធផលនៃការងាររបស់សូម្បីតែឧបករណ៍បំប្លែងកូដបែបនេះនឹងហាក់ដូចជាគ្រោះមហន្តរាយដ៏ធំមួយ។ ឯកសារមិនបើកទេ។ ឈ្មោះទាំងអស់បានបាត់។ ជំនួសឱ្យរូបភាពធម្មតា មានចចកនៅលើអេក្រង់។ ពួកគេបង្ខំអ្នកឱ្យអានអំពី bitcoins ។

ពិតហើយ ពេលនេះ ក្រោមការក្លែងបន្លំនៃ "កម្មវិធីបំប្លែងកូដដ៏គួរឱ្យភ័យខ្លាច" មានការប៉ុនប៉ងដ៏គួរឱ្យអស់សំណើច និងឆោតល្ងង់ក្នុងការជំរិតទារប្រាក់ ដែលអ្នកវាយប្រហារប្រើកម្មវិធីដែលត្រៀមរួចជាស្រេច ហើយទុកសោនៅកន្លែងឧក្រិដ្ឋកម្ម។

ដោយវិធីនេះអំពីសោ។ យើងមិនមានស្គ្រីបព្យាបាទ ឬ Trojan ដែលអាចជួយយើងឱ្យយល់ពីរបៀបដែលវាកើតឡើង។ pass.key - យន្តការដែលឯកសារលេចឡើងនៅលើកុំព្យូទ័រដែលមានមេរោគនៅតែមិនស្គាល់។ ប៉ុន្តែខ្ញុំចាំបានថា នៅក្នុងកំណត់ត្រារបស់គាត់ អ្នកនិពន្ធបានលើកឡើងពីភាពប្លែកនៃពាក្យសម្ងាត់។ ដូច្នេះ ពាក្យ​កូដ​សម្រាប់​ការ​ឌិគ្រីប​គឺ​មាន​លក្ខណៈ​ពិសេស​ដូច​ជា​ឈ្មោះ​អ្នក​ប្រើ​ស្រមោល​ចចក​គឺ​មាន​តែ​មួយ :)

និងនៅឡើយទេ ស្រមោលចចក ហេតុអ្វី និងហេតុអ្វី?

ប្រភព: www.habr.com