Wulfric Ransomware - ransomware ທີ່ບໍ່ມີຢູ່

ບາງຄັ້ງທ່ານກໍ່ຕ້ອງການເບິ່ງເຂົ້າໄປໃນສາຍຕາຂອງນັກຂຽນໄວຣັດບາງຄົນແລະຖາມວ່າ: ເປັນຫຍັງແລະເປັນຫຍັງ? ພວກເຮົາສາມາດຕອບຄໍາຖາມ "ແນວໃດ" ຕົວເອງ, ແຕ່ມັນຫນ້າສົນໃຈຫຼາຍທີ່ຈະຊອກຫາສິ່ງທີ່ຜູ້ສ້າງ malware ນີ້ຄິດ. ໂດຍສະເພາະໃນເວລາທີ່ພວກເຮົາພົບ "ໄຂ່ມຸກ" ດັ່ງກ່າວ.

hero ຂອງບົດຄວາມມື້ນີ້ເປັນຕົວຢ່າງທີ່ຫນ້າສົນໃຈຂອງ cryptographer. ມັນເບິ່ງຄືວ່າມັນເປັນພຽງແຕ່ "ransomware" ອື່ນ, ແຕ່ການປະຕິບັດດ້ານວິຊາການຂອງມັນເບິ່ງຄືວ່າເປັນເລື່ອງຕະຫລົກທີ່ໂຫດຮ້າຍຂອງໃຜຜູ້ຫນຶ່ງ. ພວກເຮົາຈະເວົ້າກ່ຽວກັບການປະຕິບັດນີ້ໃນມື້ນີ້.

ແຕ່ຫນ້າເສຍດາຍ, ມັນເກືອບເປັນໄປບໍ່ໄດ້ທີ່ຈະຕິດຕາມວົງຈອນຊີວິດຂອງຕົວເຂົ້າລະຫັດນີ້ - ມີສະຖິຕິຫນ້ອຍເກີນໄປ, ເພາະວ່າ, ໂຊກດີ, ມັນບໍ່ໄດ້ແຜ່ລາມ. ດັ່ງນັ້ນ, ພວກເຮົາຈະອອກຈາກຕົ້ນກໍາເນີດ, ວິທີການຕິດເຊື້ອແລະການອ້າງອີງອື່ນໆ. ໃຫ້ຂອງພຽງແຕ່ເວົ້າກ່ຽວກັບກໍລະນີຂອງພວກເຮົາທີ່ຈະພົບກັບ Wulfric Ransomware ແລະພວກເຮົາຊ່ວຍຜູ້ໃຊ້ບັນທຶກໄຟລ໌ຂອງລາວໄດ້ແນວໃດ.

I. ມັນເລີ່ມຕົ້ນແນວໃດ

ຄົນທີ່ຕົກເປັນເຫຍື່ອຂອງ ransomware ມັກຈະຕິດຕໍ່ກັບຫ້ອງທົດລອງຕ້ານໄວຣັສຂອງພວກເຮົາ. ພວກເຮົາໃຫ້ການຊ່ວຍເຫຼືອໂດຍບໍ່ຄໍານຶງເຖິງສິ່ງທີ່ຜະລິດຕະພັນຕ້ານເຊື້ອໄວຣັສທີ່ເຂົາເຈົ້າໄດ້ຕິດຕັ້ງ. ເວລານີ້ພວກເຮົາໄດ້ຮັບການຕິດຕໍ່ໂດຍບຸກຄົນທີ່ໄຟລ໌ໄດ້ຮັບຜົນກະທົບຈາກຕົວເຂົ້າລະຫັດທີ່ບໍ່ຮູ້ຈັກ.

ສະ​ບາຍ​ດີ​ຕອນ​ສວາຍ ໄຟລ໌ຖືກເຂົ້າລະຫັດໄວ້ໃນບ່ອນເກັບຂໍ້ມູນໄຟລ໌ (samba4) ດ້ວຍການເຂົ້າສູ່ລະບົບແບບບໍ່ມີລະຫັດຜ່ານ. ຂ້ອຍສົງໃສວ່າການຕິດເຊື້ອມາຈາກຄອມພິວເຕີຂອງລູກສາວຂອງຂ້ອຍ (Windows 10 ທີ່ມີການປ້ອງກັນ Windows Defender ມາດຕະຖານ). ຄອມພິວເຕີຂອງລູກສາວບໍ່ໄດ້ເປີດຫຼັງຈາກນັ້ນ. ໄຟລ໌ຖືກເຂົ້າລະຫັດໂດຍສ່ວນໃຫຍ່ .jpg ແລະ .cr2. ນາມສະກຸນໄຟລ໌ຫຼັງຈາກການເຂົ້າລະຫັດ: .aef.

ພວກ​ເຮົາ​ໄດ້​ຮັບ​ຈາກ​ຕົວ​ຢ່າງ​ຜູ້​ໃຊ້​ຂອງ​ໄຟລ​໌​ເຂົ້າ​ລະ​ຫັດ​, ບັນ​ທຶກ​ຄ່າ​ໄຖ່​, ແລະ​ໄຟລ​໌​ທີ່​ເປັນ​ກະ​ແຈ​ທີ່​ຜູ້​ຂຽນ ransomware ຕ້ອງ​ການ​ເພື່ອ​ຖອດ​ລະ​ຫັດ​ໄຟລ​໌​.

ນີ້ແມ່ນຂໍ້ຄຶດທັງໝົດຂອງພວກເຮົາ:

• 01c.aef (4481K)
• hacked.jpg (254K)
• hacked.txt (0K)
• 04c.aef (6540K)
• pass.key (0K)

ລອງມາເບິ່ງບັນທຶກ. ເວລານີ້ເທົ່າໃດ bitcoins?

ການແປພາສາ:

ເອົາ ໃຈ ໃສ່, ໄຟລ ໌ ຂອງ ທ່ານ ໄດ້ ຖືກ ເຂົ້າ ລະ ຫັດ!
ລະຫັດຜ່ານແມ່ນສະເພາະກັບ PC ຂອງທ່ານ.

ຈ່າຍຈໍານວນ 0.05 BTC ກັບທີ່ຢູ່ Bitcoin: 1ERtRjWAKyG2Edm9nKLLCzd8p1CjjdTiF
ຫຼັງ​ຈາກ​ການ​ຊໍາ​ລະ​ເງິນ​, ສົ່ງ​ອີ​ເມລ​໌​ໃຫ້​ຂ້າ​ພະ​ເຈົ້າ​, ຕິດ​ໄຟລ​໌ pass.key ກັບ​ [email protected] ດ້ວຍການແຈ້ງການຈ່າຍເງິນ.

ຫຼັງ​ຈາກ​ການ​ຢືນ​ຢັນ​, ຂ້າ​ພະ​ເຈົ້າ​ຈະ​ສົ່ງ​ໃຫ້​ທ່ານ decryptor ສໍາ​ລັບ​ໄຟລ​໌​.

ທ່ານສາມາດຈ່າຍ bitcoins ອອນໄລນ໌ໃນວິທີທີ່ແຕກຕ່າງກັນ:
buy.blockexplorer.com - ການ​ຊໍາ​ລະ​ໂດຍ​ບັດ​ທະ​ນາ​ຄານ​
www.buybitcoinworldwide.com
localbitcoins.net

ກ່ຽວກັບ Bitcoins:
en.wikipedia.org/wiki/Bitcoin
ຖ້າທ່ານມີຄໍາຖາມໃດໆ, ກະລຸນາຂຽນຫາຂ້ອຍທີ່ [email protected]
ເປັນໂບນັດ, ຂ້ອຍຈະບອກເຈົ້າວ່າຄອມພິວເຕີຂອງທ່ານຖືກແຮັກແນວໃດ ແລະວິທີປ້ອງກັນມັນໃນອະນາຄົດ.

ເປັນ wolf pretentious, ອອກແບບມາເພື່ອສະແດງໃຫ້ເຫັນຜູ້ຖືກເຄາະຮ້າຍຮ້າຍແຮງຂອງສະຖານະການ. ຢ່າງໃດກໍຕາມ, ມັນອາດຈະຮ້າຍແຮງກວ່າເກົ່າ.

ເຂົ້າ. 1. -As a bonus, ຂ້າພະເຈົ້າຈະບອກທ່ານວິທີການປົກປັກຮັກສາຄອມພິວເຕີຂອງທ່ານໃນອະນາຄົດ. - ເບິ່ງຄືວ່າຖືກຕ້ອງ.

II. ໃຫ້ເລີ່ມຕົ້ນ

ກ່ອນອື່ນ ໝົດ, ພວກເຮົາເບິ່ງໂຄງສ້າງຂອງຕົວຢ່າງທີ່ສົ່ງ. Oddly ພຽງພໍ, ມັນບໍ່ໄດ້ຄ້າຍຄືໄຟລ໌ທີ່ໄດ້ຮັບຄວາມເສຍຫາຍຈາກ ransomware. ເປີດຕົວແກ້ໄຂເລກຖານສິບຫົກແລະເບິ່ງ. 4 bytes ທໍາອິດມີຂະຫນາດໄຟລ໌ຕົ້ນສະບັບ, 60 bytes ຕໍ່ໄປແມ່ນເຕັມໄປດ້ວຍສູນ. ແຕ່ສິ່ງທີ່ຫນ້າສົນໃຈທີ່ສຸດແມ່ນໃນຕອນທ້າຍ:

ເຂົ້າ. 2 ວິເຄາະໄຟລ໌ເສຍຫາຍ. ສິ່ງທີ່ຈັບຕາຂອງເຈົ້າທັນທີ?

ທຸກສິ່ງທຸກຢ່າງໄດ້ກາຍເປັນເລື່ອງທີ່ງ່າຍດາຍທີ່ຫນ້າລໍາຄານ: 0x40 bytes ຈາກ header ໄດ້ຖືກຍ້າຍໄປໃນຕອນທ້າຍຂອງໄຟລ໌. ເພື່ອຟື້ນຟູຂໍ້ມູນ, ພຽງແຕ່ກັບຄືນມັນໄປຫາຈຸດເລີ່ມຕົ້ນ. ການເຂົ້າເຖິງໄຟລ໌ໄດ້ຖືກຟື້ນຟູ, ແຕ່ຊື່ຍັງຄົງຖືກເຂົ້າລະຫັດ, ແລະສິ່ງຕ່າງໆກໍ່ສັບສົນກັບມັນ.

ເຂົ້າ. 3. ຊື່ທີ່ເຂົ້າລະຫັດໄວ້ໃນ Base64 ເບິ່ງຄືວ່າເປັນຊຸດຂອງຕົວອັກສອນ.

ໃຫ້ພະຍາຍາມຄິດອອກ pass.key, ສົ່ງໂດຍຜູ້ໃຊ້. ໃນມັນພວກເຮົາເຫັນລໍາດັບ 162-byte ຂອງຕົວອັກສອນ ASCII.

ເຂົ້າ. 4. 162 ຕົວອັກສອນທີ່ເຫຼືອຢູ່ໃນ PC ຂອງຜູ້ຖືກເຄາະຮ້າຍ.

ຖ້າທ່ານເບິ່ງຢ່າງໃກ້ຊິດ, ທ່ານຈະສັງເກດເຫັນວ່າສັນຍາລັກແມ່ນຊ້ໍາກັນກັບຄວາມຖີ່ທີ່ແນ່ນອນ. ນີ້ອາດຈະຊີ້ໃຫ້ເຫັນເຖິງການນໍາໃຊ້ XOR, ເຊິ່ງມີລັກສະນະຊ້ໍາຊ້ອນ, ຄວາມຖີ່ຂອງຄວາມຖີ່ແມ່ນຂຶ້ນກັບຄວາມຍາວທີ່ສໍາຄັນ. ໂດຍໄດ້ແຍກສະຕຣິງອອກເປັນ 6 ຕົວອັກສອນ ແລະ XORed ກັບບາງຕົວແປຂອງລໍາດັບ XOR, ພວກເຮົາບໍ່ໄດ້ບັນລຸຜົນທີ່ມີຄວາມຫມາຍໃດໆ.

ເຂົ້າ. 5. ເບິ່ງຄ່າຄົງທີ່ທີ່ຊ້ຳກັນຢູ່ເຄິ່ງກາງ?

ພວກເຮົາຕັດສິນໃຈ google ຄົງ, ເພາະວ່າແມ່ນແລ້ວ, ມັນເປັນໄປໄດ້ຄືກັນ! ແລະພວກເຂົາທັງຫມົດໃນທີ່ສຸດກໍ່ນໍາໄປສູ່ຫນຶ່ງ algorithm - Batch Encryption. ຫຼັງຈາກການສຶກສາ script, ມັນໄດ້ກາຍເປັນທີ່ຊັດເຈນວ່າສາຍຂອງພວກເຮົາບໍ່ມີຫຍັງຫຼາຍກ່ວາຜົນຂອງການເຮັດວຽກຂອງມັນ. ມັນຄວນຈະກ່າວເຖິງວ່ານີ້ບໍ່ແມ່ນຕົວເຂົ້າລະຫັດໃດໆ, ແຕ່ພຽງແຕ່ຕົວເຂົ້າລະຫັດທີ່ປ່ຽນແທນຕົວອັກສອນດ້ວຍລໍາດັບ 6-byte. ບໍ່ມີກະແຈຫຼືຄວາມລັບອື່ນໆສໍາລັບທ່ານ :)

ເຂົ້າ. 6. ຊິ້ນສ່ວນຂອງສູດການຄິດໄລ່ຕົ້ນສະບັບຂອງຜູ້ຂຽນທີ່ບໍ່ຮູ້ຈັກ.

algorithm ຈະບໍ່ເຮັດວຽກຕາມທີ່ມັນຄວນຈະເປັນຖ້າຫາກວ່າບໍ່ແມ່ນສໍາລັບລາຍລະອຽດຫນຶ່ງ:

ເຂົ້າ. 7. Morpheus ອະນຸມັດ.

ການ​ນໍາ​ໃຊ້​ການ​ທົດ​ແທນ​ປີ​ກັບ​ຄືນ​ໄປ​ບ່ອນ​ພວກ​ເຮົາ​ປ່ຽນ​ສາຍ​ຈາກ​ pass.key ເຂົ້າໄປໃນຂໍ້ຄວາມ 27 ຕົວອັກສອນ. ຂໍ້ຄວາມ 'asmodat' ຂອງມະນຸດສົມຄວນໄດ້ຮັບຄວາມສົນໃຈເປັນພິເສດ.

Fig.8. USGFDG=7.

Google ຈະຊ່ວຍພວກເຮົາອີກຄັ້ງ. ຫຼັງຈາກການຄົ້ນຫາເລັກນ້ອຍ, ພວກເຮົາພົບເຫັນໂຄງການທີ່ຫນ້າສົນໃຈໃນ GitHub - Folder Locker, ຂຽນໃນ .Net ແລະໃຊ້ຫ້ອງສະຫມຸດ 'asmodat' ຈາກບັນຊີ Git ອື່ນ.

ເຂົ້າ. 9. ການໂຕ້ຕອບ Folder Locker. ໃຫ້ແນ່ໃຈວ່າກວດເບິ່ງ malware.

ຜົນປະໂຫຍດແມ່ນຕົວເຂົ້າລະຫັດສໍາລັບ Windows 7 ແລະສູງກວ່າ, ເຊິ່ງຖືກແຈກຢາຍເປັນແຫຼ່ງເປີດ. ໃນລະຫວ່າງການເຂົ້າລະຫັດ, ລະຫັດຜ່ານຖືກນໍາໃຊ້, ເຊິ່ງເປັນສິ່ງຈໍາເປັນສໍາລັບການຖອດລະຫັດຕໍ່ມາ. ອະນຸຍາດໃຫ້ທ່ານເຮັດວຽກທັງກັບໄຟລ໌ສ່ວນບຸກຄົນແລະກັບໄດເລກະທໍລີທັງຫມົດ.

ຫ້ອງສະຫມຸດຂອງມັນໃຊ້ລະບົບການເຂົ້າລະຫັດແບບສົມມາດຂອງ Rijndael ໃນໂໝດ CBC. ມັນເປັນທີ່ສັງເກດວ່າຂະຫນາດຕັນໄດ້ຖືກເລືອກໃຫ້ເປັນ 256 bits - ກົງກັນຂ້າມກັບທີ່ໄດ້ຮັບຮອງເອົາໃນມາດຕະຖານ AES. ໃນ​ກໍ​ລະ​ນີ​ຫຼັງ​ຈາກ​ນັ້ນ​, ຂະ​ຫນາດ​ແມ່ນ​ຈໍາ​ກັດ 128 bits​.

ກຸນແຈຂອງພວກເຮົາແມ່ນຜະລິດຕາມມາດຕະຖານ PBKDF2. ໃນກໍລະນີນີ້, ລະຫັດຜ່ານແມ່ນ SHA-256 ຈາກສະຕຣິງທີ່ໃສ່ໃນຜົນປະໂຫຍດ. ທັງຫມົດທີ່ຍັງເຫຼືອແມ່ນເພື່ອຊອກຫາສາຍນີ້ເພື່ອສ້າງລະຫັດຖອດລະຫັດ.

ແລ້ວ, ໃຫ້ກັບຄືນໄປຫາການຖອດລະຫັດຂອງພວກເຮົາແລ້ວ pass.key. ຈື່ເສັ້ນນັ້ນດ້ວຍຊຸດຕົວເລກ ແລະຂໍ້ຄວາມ 'asmodat'? ລອງໃຊ້ 20 bytes ທຳອິດຂອງສະຕຣິງເປັນລະຫັດຜ່ານສຳລັບ Folder Locker.

ເບິ່ງ, ມັນເຮັດວຽກ! ຄໍາສັບລະຫັດເກີດຂຶ້ນ, ແລະທຸກສິ່ງທຸກຢ່າງໄດ້ຖືກຖອດລະຫັດຢ່າງສົມບູນ. ການຕັດສິນໂດຍຕົວອັກສອນໃນລະຫັດຜ່ານ, ມັນເປັນການເປັນຕົວແທນ HEX ຂອງຄໍາສັບສະເພາະໃນ ASCII. ໃຫ້ພະຍາຍາມສະແດງຄໍາລະຫັດໃນຮູບແບບຂໍ້ຄວາມ. ພວກເຮົາໄດ້ຮັບ 'shadowwolf'. ແລ້ວຮູ້ສຶກມີອາການຂອງ lycanthropy ບໍ?

ໃຫ້ພິຈາລະນາໂຄງສ້າງຂອງໄຟລ໌ທີ່ໄດ້ຮັບຜົນກະທົບ, ຕອນນີ້ຮູ້ວ່າຕົວລັອກເຮັດວຽກແນວໃດ:

• 02 00 00 00 - ຮູບແບບການເຂົ້າລະຫັດຊື່;
• 58 00 00 00 – ຄວາມ​ຍາວ​ຂອງ​ການ​ເຂົ້າ​ລະ​ຫັດ​ແລະ base64 ຊື່​ໄຟລ​໌​ເຂົ້າ​ລະ​ຫັດ​;
• 40 00 00 00 - ຂະຫນາດຂອງຫົວທີ່ຖືກໂອນ.

ຊື່ທີ່ຖືກເຂົ້າລະຫັດຕົວມັນເອງແລະສ່ວນຫົວທີ່ຖືກໂອນຖືກເນັ້ນໃສ່ເປັນສີແດງແລະສີເຫຼືອງ, ຕາມລໍາດັບ.

ເຂົ້າ. 10. ຊື່ເຂົ້າລະຫັດຖືກເນັ້ນໃສ່ສີແດງ, ສ່ວນຫົວທີ່ຖືກໂອນຈະຖືກເນັ້ນໃສ່ເປັນສີເຫຼືອງ.

ຕອນນີ້ໃຫ້ປຽບທຽບຊື່ທີ່ເຂົ້າລະຫັດ ແລະຖອດລະຫັດໄວ້ໃນຕົວແທນເລກຖານສິບຫົກ.

ໂຄງສ້າງຂອງຂໍ້ມູນທີ່ຖອດລະຫັດ:

• 78 B9 B8 2E - ຂີ້ເຫຍື້ອທີ່ສ້າງຂຶ້ນໂດຍຜົນປະໂຫຍດ (4 bytes);
• 0S 00 00 00 – ຄວາມ​ຍາວ​ຂອງ​ຊື່​ຖອດ​ລະ​ຫັດ (12 bytes​)​;
• ຕໍ່ໄປແມ່ນຊື່ໄຟລ໌ຕົວຈິງແລະ padding ກັບສູນກັບຄວາມຍາວຕັນທີ່ຕ້ອງການ (padding).

ເຂົ້າ. 11. IMG_4114 ເບິ່ງດີກວ່າຫຼາຍ.

III. ບົດສະຫຼຸບແລະບົດສະຫຼຸບ

ກັບໄປທີ່ຈຸດເລີ່ມຕົ້ນ. ພວກເຮົາບໍ່ຮູ້ວ່າສິ່ງທີ່ກະຕຸ້ນໃຫ້ຜູ້ຂຽນຂອງ Wulfric.Ransomware ແລະສິ່ງທີ່ລາວປະຕິບັດຕາມເປົ້າຫມາຍ. ແນ່ນອນ, ສໍາລັບຜູ້ໃຊ້ສະເລ່ຍ, ຜົນໄດ້ຮັບຂອງການເຮັດວຽກຂອງແມ້ແຕ່ຕົວເຂົ້າລະຫັດດັ່ງກ່າວຈະເບິ່ງຄືວ່າເປັນໄພພິບັດໃຫຍ່. ໄຟລ໌ບໍ່ເປີດ. ຊື່ທັງຫມົດແມ່ນຫມົດ. ແທນທີ່ຈະເປັນຮູບປົກກະຕິ, ມີ wolf ໃນຫນ້າຈໍ. ພວກເຂົາເຈົ້າບັງຄັບໃຫ້ທ່ານອ່ານກ່ຽວກັບ bitcoins.

ແທ້ຈິງແລ້ວ, ໃນເວລານີ້, ພາຍໃຕ້ການສະແດງອອກຂອງ "ຕົວເຂົ້າລະຫັດທີ່ຂີ້ຮ້າຍ," ມີການປິດບັງຄວາມພະຍາຍາມທີ່ຈະຫຼອກລວງແລະໂງ່ຈ້າ, ບ່ອນທີ່ຜູ້ໂຈມຕີໃຊ້ໂຄງການທີ່ກຽມພ້ອມແລະປ່ອຍກະແຈໄວ້ບ່ອນເກີດເຫດ.

ໂດຍວິທີທາງການ, ກ່ຽວກັບກະແຈ. ພວກເຮົາບໍ່ມີສະຄຣິບທີ່ເປັນອັນຕະລາຍ ຫຼື Trojan ທີ່ສາມາດຊ່ວຍພວກເຮົາເຂົ້າໃຈວ່າສິ່ງນີ້ເກີດຂຶ້ນໄດ້ແນວໃດ. pass.key – ກົນໄກທີ່ໄຟລ໌ປາກົດຢູ່ໃນ PC ທີ່ຕິດເຊື້ອຍັງບໍ່ຮູ້ຈັກ. ແຕ່, ຂ້າພະເຈົ້າຈື່, ໃນບັນທຶກຂອງລາວ, ຜູ້ຂຽນໄດ້ກ່າວເຖິງຄວາມເປັນເອກະລັກຂອງລະຫັດຜ່ານ. ດັ່ງນັ້ນ, ຄໍາສັບລະຫັດສໍາລັບການຖອດລະຫັດແມ່ນເປັນເອກະລັກທີ່ຊື່ຜູ້ໃຊ້ shadow wolf ເປັນເອກະລັກ :)

ແລະຍັງ, shadow wolf, ເປັນຫຍັງແລະເປັນຫຍັງ?

ແຫຼ່ງຂໍ້ມູນ: www.habr.com