Wulfric 랜섬웨어 - 존재하지 않는 랜섬웨어

때로는 일부 바이러스 작성자의 눈을 바라보며 다음과 같이 묻고 싶을 때가 있습니다. 왜, 왜? "어떻게"라는 질문에 우리 스스로 대답할 수 있지만, 이 악성 코드 제작자가 무슨 생각을 하고 있는지 알아내는 것은 매우 흥미로울 것입니다. 특히 우리가 그러한 "진주"를 발견할 때.

오늘 기사의 주인공은 암호학자의 흥미로운 예입니다. 이는 단순히 또 다른 "랜섬웨어"로 간주되었지만 기술적 구현은 누군가의 잔인한 농담처럼 보입니다. 오늘은 이 구현에 대해 이야기하겠습니다.

불행하게도 이 인코더의 수명주기를 추적하는 것은 거의 불가능합니다. 다행스럽게도 널리 보급되지 않았기 때문에 이에 대한 통계가 너무 적습니다. 따라서 유래, 감염경로, 기타 참고자료는 생략하도록 하겠습니다. 우리가 만난 사례에 대해 이야기합시다 Wulfric 랜섬웨어 사용자가 파일을 저장하도록 도운 방법도 설명합니다.

I. 모든 것이 어떻게 시작되었는지

랜섬웨어의 피해자가 된 사람들은 종종 우리의 안티 바이러스 연구소에 문의합니다. 우리는 그들이 설치한 바이러스 백신 제품에 관계없이 지원을 제공합니다. 이번에는 알 수 없는 인코더의 영향을 받은 파일을 가진 사람으로부터 연락을 받았습니다.

좋은 오후에요 파일은 비밀번호 없는 로그인으로 파일 저장소(samba4)에서 암호화되었습니다. 내 딸의 컴퓨터(표준 Windows Defender 보호 기능이 포함된 Windows 10)에서 감염이 발생한 것으로 의심됩니다. 그 이후로 딸의 컴퓨터는 켜지지 않았습니다. 파일은 주로 .jpg 및 .cr2로 암호화됩니다. 암호화 후 파일 확장자: .aef.

우리는 사용자 샘플로부터 암호화된 파일, 몸값 메모, 랜섬웨어 작성자가 파일을 해독하는 데 필요한 키일 가능성이 있는 파일을 받았습니다.

여기에 우리의 모든 단서가 있습니다:

• 01c.aef (4481K)
• hacked.jpg (254K)
• hacked.txt (0K)
• 04c.aef (6540K)
• 패스.키(0K)

메모를 살펴보겠습니다. 이번에는 비트코인 ​​몇 개인가요?

번역 :

주의, 귀하의 파일은 암호화되어 있습니다!
비밀번호는 PC마다 고유합니다.

비트코인 주소: 0.05ERtRjWAKyG1Edm2nKLLCzd9p8CjjdTiF에 1 BTC 금액을 지불하세요.
결제 후 pass.key 파일을 첨부하여 이메일을 보내주세요. [이메일 보호] 지불 통지와 함께.

확인 후 파일에 대한 암호 해독기를 보내드리겠습니다.

다양한 방법으로 온라인으로 비트코인을 결제할 수 있습니다.
buy.blockexplorer.com — 은행 카드로 결제
www.buybitcoinworldwide.com
localbitcoins.net

비트코인 소개:
en.wikipedia.org/wiki/Bitcoin
질문이 있으시면 다음 주소로 저에게 편지를 보내주세요. [이메일 보호]
보너스로 여러분의 컴퓨터가 어떻게 해킹당했는지, 그리고 앞으로 컴퓨터를 보호할 수 있는 방법을 알려드리겠습니다.

피해자에게 상황의 심각성을 보여주기 위해 고안된 가식적인 늑대입니다. 그러나 상황은 더 나쁠 수도 있었습니다.

쌀. 1. - 보너스로 앞으로 컴퓨터를 보호하는 방법을 알려드리겠습니다. – 합법적인 것 같습니다.

II. 시작하자

먼저, 전송된 샘플의 구조를 살펴보았습니다. 이상하게도 랜섬웨어에 의해 손상된 파일처럼 보이지는 않았습니다. 4진수 편집기를 열고 살펴보세요. 처음 60바이트는 원래 파일 크기를 포함하고 다음 XNUMX바이트는 XNUMX으로 채워집니다. 그러나 가장 흥미로운 것은 마지막에 있습니다.

쌀. 2 손상된 파일을 분석합니다. 즉시 눈에 띄는 것은 무엇입니까?

모든 것이 짜증스러울 정도로 단순하다는 것이 밝혀졌습니다. 헤더의 0x40바이트가 파일 끝으로 이동되었습니다. 데이터를 복원하려면 데이터를 처음으로 되돌리면 됩니다. 파일에 대한 액세스는 복원되었지만 이름은 암호화된 상태로 유지되어 상황이 더욱 복잡해지고 있습니다.

쌀. 3. Base64의 암호화된 이름은 두서없는 문자 집합처럼 보입니다.

그것을 알아 내려고 노력하자 곁쇠, 사용자가 제출했습니다. 그 안에는 162바이트의 ASCII 문자 시퀀스가 ​​있습니다.

쌀. 4. 피해자 PC에는 162자가 남아있습니다.

자세히 살펴보면 기호가 특정 빈도로 반복되는 것을 알 수 있습니다. 이는 키 길이에 따라 빈도가 달라지는 반복을 특징으로 하는 XOR의 사용을 나타낼 수 있습니다. 문자열을 6개의 문자로 분할하고 XOR 시퀀스의 일부 변형을 사용하여 XOR을 수행했지만 의미 있는 결과를 얻지 못했습니다.

쌀. 5. 가운데 반복되는 상수가 보이시나요?

우리는 상수를 검색하기로 결정했습니다. 왜냐하면 그렇습니다. 그것도 가능하기 때문입니다! 그리고 그들은 모두 궁극적으로 일괄 암호화라는 하나의 알고리즘으로 이어졌습니다. 대본을 연구한 결과 우리 대사는 작업의 결과에 지나지 않는다는 것이 분명해졌습니다. 이는 전혀 암호화기가 아니라 문자를 6바이트 시퀀스로 바꾸는 인코더일 뿐이라는 점을 언급해야 합니다. 열쇠나 기타 비밀은 없습니다 :)

쌀. 6. 작성자가 알려지지 않은 원래 알고리즘의 일부입니다.

한 가지 세부 사항이 없으면 알고리즘이 제대로 작동하지 않습니다.

쌀. 7. 모피어스가 승인했습니다.

역치환을 사용하여 문자열을 다음과 같이 변환합니다. 곁쇠 27자의 텍스트로 변환됩니다. 인간의 (아마도) 텍스트 'asmodat'는 특별한 주의를 기울일 가치가 있습니다.

그림 8. USGFDG=7.

Google이 다시 도와드리겠습니다. 약간의 검색 끝에 우리는 GitHub에서 .Net으로 작성되고 다른 Git 계정의 'asmodat' 라이브러리를 사용하는 Folder Locker라는 흥미로운 프로젝트를 발견했습니다.

쌀. 9. 폴더 보관함 인터페이스. 악성코드가 있는지 꼭 확인하세요.

이 유틸리티는 오픈 소스로 배포되는 Windows 7 이상용 암호화 도구입니다. 암호화 중에는 후속 암호 해독에 필요한 비밀번호가 사용됩니다. 개별 파일과 전체 디렉터리에 대해 작업할 수 있습니다.

해당 라이브러리는 CBC 모드에서 Rijndael 대칭 암호화 알고리즘을 사용합니다. AES 표준에 채택된 블록 크기와 달리 블록 크기가 256비트로 선택되었다는 점은 주목할 만합니다. 후자의 경우 크기는 128비트로 제한됩니다.

우리 키는 PBKDF2 표준에 따라 생성됩니다. 이 경우 비밀번호는 유틸리티에 입력된 문자열의 SHA-256입니다. 남은 것은 이 문자열을 찾아 암호 해독 키를 생성하는 것뿐입니다.

글쎄, 이미 해독된 내용으로 돌아가자. 곁쇠. 일련의 숫자와 'asmodat'라는 텍스트가 있는 줄을 기억하시나요? 문자열의 처음 20바이트를 Folder Locker의 비밀번호로 사용해 보겠습니다.

보세요, 작동해요! 암호가 나왔고 모든 것이 완벽하게 해독되었습니다. 비밀번호의 문자로 판단하면 이는 ASCII의 특정 단어를 HEX로 표현한 것입니다. 코드워드를 텍스트 형태로 표시해 보겠습니다. 우리는 '을 얻습니다그림자 늑대'. 이미 라이칸스로피의 증상을 느끼시나요?

영향을 받은 파일의 구조를 다시 살펴보고 이제 보관함이 어떻게 작동하는지 살펴보겠습니다.

• 02 00 00 00 – 이름 암호화 모드;
• 58 00 00 00 – 암호화되고 base64로 인코딩된 파일 이름의 길이입니다.
• 40 00 00 00 – 전송된 헤더의 크기.

암호화된 이름 자체와 전송된 헤더는 각각 빨간색과 노란색으로 강조 표시됩니다.

쌀. 10. 암호화된 이름은 빨간색으로 강조 표시되고, 전송된 헤더는 노란색으로 강조 표시됩니다.

이제 암호화된 이름과 해독된 이름을 XNUMX진수로 비교해 보겠습니다.

해독된 데이터의 구조:

• 78 B9 B8 2E – 유틸리티에 의해 생성된 가비지(4바이트);
• 0С 00 00 00 – 해독된 이름의 길이(12바이트)
• 다음에는 실제 파일 이름과 필요한 블록 길이에 대한 XNUMX 패딩(패딩)이 옵니다.

쌀. 11. IMG_4114가 훨씬 좋아 보입니다.

III. 결론 및 결론

처음으로 돌아갑니다. Wulfric.Ransomware의 작성자가 어떤 동기를 갖고 어떤 목표를 추구했는지 우리는 알 수 없습니다. 물론 일반 사용자에게는 그러한 암호화 장치의 작업 결과조차 큰 재앙처럼 보일 것입니다. 파일이 열리지 않습니다. 이름이 모두 사라졌습니다. 화면에는 일반적인 그림 대신 늑대가 등장합니다. 그들은 비트코인에 대해 읽도록 강요합니다.

사실, 이번에는 "끔찍한 인코더"를 가장하여 공격자가 기성 프로그램을 사용하고 열쇠를 범죄 현장에 바로 두는 터무니없고 어리석은 강탈 시도가 숨겨져 있었습니다.

그건 그렇고, 열쇠에 대해서. 이런 일이 어떻게 발생했는지 이해하는 데 도움이 될 수 있는 악성 스크립트나 트로이 목마가 없었습니다. 곁쇠 – 감염된 PC에 파일이 나타나는 메커니즘은 아직 알려지지 않았습니다. 그러나 저자는 자신의 메모에서 비밀번호의 고유성을 언급한 것을 기억합니다. 따라서 사용자 이름 Shadow Wolf가 고유한 만큼 암호 해독을 위한 코드 워드도 고유합니다. :)

그런데 그림자늑대여, 왜 그리고 왜?

출처 : habr.com