ബിസിനസുകളെ ആക്രമിക്കുന്ന Ryuk ransomware എങ്ങനെ പ്രവർത്തിക്കുന്നു

കഴിഞ്ഞ കുറച്ച് വർഷങ്ങളായി ഏറ്റവും കുപ്രസിദ്ധമായ റാൻസംവെയർ വകഭേദങ്ങളിൽ ഒന്നാണ് റ്യുക്ക്. 2018 ലെ വേനൽക്കാലത്ത് ഇത് ആദ്യമായി പ്രത്യക്ഷപ്പെട്ടതിനുശേഷം, ഇത് വളരെയധികം... ഇരകളുടെ ശ്രദ്ധേയമായ ഒരു പട്ടിക, പ്രത്യേകിച്ച് ബിസിനസ് അന്തരീക്ഷത്തിൽ, അതാണ് അവന്റെ ആക്രമണങ്ങളുടെ പ്രധാന ലക്ഷ്യം.

1. പൊതുവിവരം

ഈ പ്രമാണത്തിൽ Ryuk ransomware-ന്റെ ഒരു വകഭേദത്തിന്റെയും സിസ്റ്റത്തിലേക്ക് മാൽവെയർ ലോഡ് ചെയ്യുന്നതിന് ഉത്തരവാദിയായ ലോഡറിന്റെയും വിശകലനം അടങ്ങിയിരിക്കുന്നു.

Ryuk റാൻസംവെയർ ആദ്യമായി പ്രത്യക്ഷപ്പെട്ടത് 2018 ലെ വേനൽക്കാലത്താണ്. Ryuk ഉം മറ്റ് റാൻസംവെയറുകളും തമ്മിലുള്ള ഒരു വ്യത്യാസം അത് കോർപ്പറേറ്റ് പരിതസ്ഥിതികളെ ആക്രമിക്കാൻ ലക്ഷ്യമിടുന്നു എന്നതാണ്.

2019 മധ്യത്തിൽ, സൈബർ ക്രിമിനൽ ഗ്രൂപ്പുകൾ ഈ റാൻസംവെയർ ഉപയോഗിച്ച് ധാരാളം സ്പാനിഷ് കമ്പനികളെ ആക്രമിച്ചു.

ചിത്രം 1: Ryuk ransomware ആക്രമണത്തെക്കുറിച്ചുള്ള എൽ കോൺഫിഡൻഷ്യലിൽ നിന്നുള്ള ഉദ്ധരണി [1]

ചിത്രം 2: Ryuk ransomware ഉപയോഗിച്ച് നടത്തിയ ആക്രമണത്തെക്കുറിച്ചുള്ള എൽ പൈസിൽ നിന്നുള്ള ഉദ്ധരണി [2]
ഈ വർഷം, വിവിധ രാജ്യങ്ങളിലെ നിരവധി കമ്പനികളെ റ്യുക്ക് ആക്രമിച്ചു. താഴെയുള്ള കണക്കുകളിൽ നിന്ന് നിങ്ങൾക്ക് കാണാൻ കഴിയുന്നതുപോലെ, ജർമ്മനി, ചൈന, അൾജീരിയ, ഇന്ത്യ എന്നിവയാണ് ഏറ്റവും കൂടുതൽ ബാധിച്ചത്.

സൈബർ ആക്രമണങ്ങളുടെ എണ്ണം താരതമ്യം ചെയ്യുമ്പോൾ, റ്യൂക്ക് ദശലക്ഷക്കണക്കിന് ഉപയോക്താക്കളെ ബാധിച്ചുവെന്നും വലിയൊരു അളവിലുള്ള ഡാറ്റയിൽ വിട്ടുവീഴ്ച ചെയ്തുവെന്നും ഇത് ഗുരുതരമായ സാമ്പത്തിക നാശനഷ്ടങ്ങൾക്ക് കാരണമായെന്നും നമുക്ക് കാണാൻ കഴിയും.

ചിത്രം 3: റ്യുക്കിന്റെ ആഗോള പ്രവർത്തനത്തിന്റെ ചിത്രീകരണം.

ചിത്രം 4: റ്യുക്ക് ഏറ്റവും കൂടുതൽ ബാധിച്ച 16 രാജ്യങ്ങൾ

ചിത്രം 5: Ryuk ransomware ആക്രമിച്ച ഉപയോക്താക്കളുടെ എണ്ണം (ദശലക്ഷക്കണക്കിന്)

സാധാരണഗതിയിൽ ഇത്തരം ഭീഷണികളിൽ സംഭവിക്കുന്നത് പോലെ, എൻക്രിപ്ഷൻ പൂർത്തിയായ ശേഷം, റാൻസംവെയർ ഇരയ്ക്ക് ഒരു മോചനദ്രവ്യ കുറിപ്പ് പ്രദർശിപ്പിക്കും, എൻക്രിപ്റ്റ് ചെയ്ത ഫയലുകളിലേക്കുള്ള ആക്‌സസ് പുനഃസ്ഥാപിക്കുന്നതിന് അത് ഒരു നിർദ്ദിഷ്ട വിലാസത്തിലേക്ക് ബിറ്റ്കോയിനിൽ അടയ്ക്കണം.

ഈ മാൽവെയർ ആദ്യം പ്രത്യക്ഷപ്പെട്ടതുമുതൽ മാറിയിരിക്കുന്നു.
ഈ പ്രബന്ധത്തിൽ വിശകലനം ചെയ്ത ഈ ഭീഷണിയുടെ വകഭേദം 2020 ജനുവരിയിൽ നടന്ന ഒരു ആക്രമണ ശ്രമത്തിനിടെയാണ് കണ്ടെത്തിയത്.

അതിന്റെ സങ്കീർണ്ണത കാരണം, ഈ മാൽവെയറിനെ പലപ്പോഴും സംഘടിത സൈബർ കുറ്റകൃത്യ ഗ്രൂപ്പുകളിലേക്ക് ആരോപിക്കാറുണ്ട്, അവ APT ഗ്രൂപ്പുകൾ എന്നും അറിയപ്പെടുന്നു.

റ്യുക്കിന്റെ ചില കോഡുകൾക്ക് മറ്റൊരു അറിയപ്പെടുന്ന റാൻസംവെയർ പ്രോഗ്രാമായ ഹെർമിസിന്റെ കോഡുമായും ഘടനയുമായും ശ്രദ്ധേയമായ സാമ്യമുണ്ട്, ഈ പ്രോഗ്രാമുമായി ഇത് നിരവധി പ്രവർത്തനങ്ങൾ പങ്കിടുന്നു. അതുകൊണ്ടാണ് റ്യുക്കിനെ തുടക്കത്തിൽ ഉത്തരകൊറിയൻ ഗ്രൂപ്പായ ലാസറസുമായി ബന്ധിപ്പിച്ചത്, അന്ന് ഹെർമിസ് റാൻസംവെയറിന് പിന്നിലാണെന്ന് സംശയിക്കപ്പെട്ടിരുന്നു.

ക്രൗഡ്‌സ്ട്രൈക്കിന്റെ ഫാൽക്കൺ എക്‌സ് സർവീസ് പിന്നീട് റുയുക്കിനെ സൃഷ്ടിച്ചത് വിസാർഡ് സ്പൈഡർ ഗ്രൂപ്പാണെന്ന് അഭിപ്രായപ്പെട്ടു [4].

ഈ അനുമാനത്തെ പിന്തുണയ്ക്കുന്നതിന് നിരവധി തെളിവുകൾ ഉണ്ട്. ഒന്നാമതായി, ഈ റാൻസംവെയറിനെ exploit.in എന്ന വെബ്‌സൈറ്റിൽ പരസ്യപ്പെടുത്തിയിരുന്നു, ഇത് മുമ്പ് നിരവധി റഷ്യൻ APT ഗ്രൂപ്പുകളുമായി ബന്ധപ്പെട്ടിരുന്ന ഒരു പ്രശസ്ത റഷ്യൻ മാൽവെയർ മാർക്കറ്റ്പ്ലെയ്‌സ് ആയിരുന്നു.
ഈ വസ്തുത, റ്യുക്ക് എപിടി ഗ്രൂപ്പായ ലാസറസിന് വികസിപ്പിച്ചെടുക്കാൻ കഴിയുമായിരുന്നു എന്ന സിദ്ധാന്തത്തെ നിരാകരിക്കുന്നു, കാരണം അത് ഗ്രൂപ്പിന്റെ പ്രവർത്തന ശൈലിയുമായി പൊരുത്തപ്പെടുന്നില്ല.

കൂടാതെ, റഷ്യൻ, ഉക്രേനിയൻ, അല്ലെങ്കിൽ ബെലാറഷ്യൻ സിസ്റ്റങ്ങളിൽ പ്രവർത്തിക്കാത്ത ഒരു റ്യൂക്ക്വെയർ ആയി റ്യൂക്കിനെ പരസ്യപ്പെടുത്തി. റ്യൂക്കിന്റെ ചില പതിപ്പുകളിൽ കാണപ്പെടുന്ന ഒരു ഫംഗ്ഷൻ മൂലമാണ് ഈ സ്വഭാവം ഉണ്ടാകുന്നത്, റ്യൂക്ക്വെയർ പ്രവർത്തിപ്പിക്കുന്ന സിസ്റ്റത്തിന്റെ ഭാഷ പരിശോധിക്കുകയും സിസ്റ്റം റഷ്യൻ, ഉക്രേനിയൻ അല്ലെങ്കിൽ ബെലാറഷ്യൻ ഭാഷകളിൽ പ്രവർത്തിക്കുകയാണെങ്കിൽ അത് നിർത്തുകയും ചെയ്യുന്നു. ഒടുവിൽ, വിസാർഡ് സ്പൈഡർ ഗ്രൂപ്പ് ഹാക്ക് ചെയ്ത ഒരു മെഷീനിന്റെ വിദഗ്ദ്ധ വിശകലനം, ഹെർമിസ് റാൻസംവെയറിന്റെ ഒരു വകഭേദമായി റ്യൂക്കിന്റെ വികസനത്തിൽ ഉപയോഗിച്ചതായി കരുതപ്പെടുന്ന നിരവധി "ആർട്ടിഫാക്റ്റുകൾ" വെളിപ്പെടുത്തി.

മറുവശത്ത്, വിദഗ്ധരായ ഗബ്രിയേല നിക്കോളാവോയും ലൂസിയാനോ മാർട്ടിൻസും റാൻസംവെയർ എപിടി ഗ്രൂപ്പായ ക്രിപ്‌റ്റോടെക് [5] വികസിപ്പിച്ചെടുത്തതാകാമെന്ന് അഭിപ്രായപ്പെട്ടു.
റ്യുക്ക് പ്രത്യക്ഷപ്പെടുന്നതിന് ഏതാനും മാസങ്ങൾക്ക് മുമ്പ്, ഈ ഗ്രൂപ്പ് അതേ സൈറ്റിന്റെ ഫോറത്തിൽ ഹെർമിസ് റാൻസംവെയറിന്റെ ഒരു പുതിയ പതിപ്പ് വികസിപ്പിച്ചതായി പോസ്റ്റ് ചെയ്തതിൽ നിന്നാണ് ഇത് പിന്തുടരുന്നത്.

ക്രിപ്‌റ്റോടെക് യഥാർത്ഥത്തിൽ റ്യൂക്കിനെ സൃഷ്ടിച്ചതാണോ എന്ന് നിരവധി ഫോറം ഉപയോക്താക്കൾ ചോദ്യം ചെയ്തു. തുടർന്ന് ഗ്രൂപ്പ് സ്വയം പ്രതിരോധിച്ചു, റാൻസംവെയറിന്റെ 100% വികസിപ്പിച്ചതിന് തെളിവുകൾ ഉണ്ടെന്ന് അവകാശപ്പെട്ടു.

2. സ്വഭാവഗുണങ്ങൾ

Ryuk ransomware-ന്റെ "ശരിയായ" പതിപ്പ് പ്രവർത്തിപ്പിക്കാൻ കഴിയുന്ന തരത്തിൽ അത് ഏത് സിസ്റ്റത്തിലാണെന്ന് തിരിച്ചറിയുക എന്നതാണ് ബൂട്ട്ലോഡറിന്റെ ജോലി.
ബൂട്ട്ലോഡർ ഹാഷ് ഇപ്രകാരമാണ്:

MD5 A73130B0E379A989CBA3D695A157A495
SHA256 EF231EE1A2481B7E627921468E79BB4369CCFAEB19A575748DD2B664ABC4F469

ഈ ഡൗൺലോഡറിന്റെ ഒരു പ്രത്യേകത, അതിൽ ഒരു മെറ്റാഡാറ്റയും അടങ്ങിയിട്ടില്ല എന്നതാണ്, അതായത് ഈ മാൽവെയറിന്റെ സ്രഷ്ടാക്കൾ അതിൽ ഒരു വിവരവും ഉൾപ്പെടുത്തിയിട്ടില്ല.

ചിലപ്പോൾ അവർ ഒരു നിയമാനുസൃത ആപ്ലിക്കേഷൻ സമാരംഭിക്കുകയാണെന്ന് ഉപയോക്താവിനെ തെറ്റിദ്ധരിപ്പിക്കാൻ തെറ്റായ ഡാറ്റ ഉൾപ്പെടുത്തുന്നു. എന്നിരുന്നാലും, പിന്നീട് നമ്മൾ കാണുന്നത് പോലെ, അണുബാധയ്ക്ക് ഉപയോക്തൃ ഇടപെടൽ ആവശ്യമില്ലെങ്കിൽ (ഈ റാൻസംവെയറിന്റെ കാര്യത്തിലെന്നപോലെ), മെറ്റാഡാറ്റ ഉപയോഗിക്കേണ്ടത് ആവശ്യമാണെന്ന് ആക്രമണകാരികൾ കരുതുന്നില്ല.

ചിത്രം 6: സാമ്പിൾ മെറ്റാഡാറ്റ

32-ബിറ്റ്, 64-ബിറ്റ് സിസ്റ്റങ്ങളിൽ പ്രവർത്തിപ്പിക്കാൻ കഴിയുന്ന തരത്തിൽ സാമ്പിൾ 32-ബിറ്റ് ഫോർമാറ്റിലാണ് സമാഹരിച്ചത്.

3. പെനട്രേഷൻ വെക്റ്റർ

Ryuk ഡൗൺലോഡ് ചെയ്ത് പ്രവർത്തിപ്പിക്കുന്ന സാമ്പിൾ ഒരു റിമോട്ട് കണക്ഷൻ വഴിയാണ് ഞങ്ങളുടെ സിസ്റ്റത്തിൽ പ്രവേശിച്ചത്, കൂടാതെ ഒരു പ്രാഥമിക RDP ആക്രമണത്തിലൂടെയാണ് ക്രെഡൻഷ്യലുകൾ ലഭിച്ചത്.

ചിത്രം 7: ആക്രമണ രജിസ്ട്രി

ആക്രമണകാരിക്ക് സിസ്റ്റത്തിലേക്ക് വിദൂരമായി ലോഗിൻ ചെയ്യാൻ കഴിഞ്ഞു. അതിനുശേഷം, അവർ ഞങ്ങളുടെ സാമ്പിൾ അടങ്ങിയ ഒരു എക്സിക്യൂട്ടബിൾ ഫയൽ സൃഷ്ടിച്ചു.
ഈ എക്സിക്യൂട്ടബിൾ ഫയൽ പ്രവർത്തിപ്പിക്കുന്നതിന് മുമ്പ് ഒരു ആന്റിവൈറസ് സൊല്യൂഷൻ തടഞ്ഞു.

ചിത്രം 8: സാമ്പിൾ ബ്ലോക്കിംഗ്

ചിത്രം 9: സാമ്പിൾ ബ്ലോക്കിംഗ്

മാലിഷ്യസ് ഫയൽ ലോക്ക് ചെയ്‌തുകഴിഞ്ഞാൽ, ആക്രമണകാരി എക്സിക്യൂട്ടബിൾ ഫയലിന്റെ എൻക്രിപ്റ്റ് ചെയ്‌ത പതിപ്പ് ഡൗൺലോഡ് ചെയ്യാൻ ശ്രമിച്ചു, അതും ലോക്ക് ചെയ്‌തിരുന്നു.

ചിത്രം 10: ആക്രമണകാരി പ്രവർത്തിപ്പിക്കാൻ ശ്രമിച്ച സാമ്പിളുകളുടെ ഒരു കൂട്ടം

ഒടുവിൽ, എൻക്രിപ്റ്റ് ചെയ്ത കൺസോളിലൂടെ മറ്റൊരു ക്ഷുദ്ര ഫയൽ ഡൗൺലോഡ് ചെയ്യാൻ അയാൾ ശ്രമിച്ചു.
ആന്റിവൈറസ് സംരക്ഷണം മറികടക്കാൻ പവർഷെൽ ഉപയോഗിച്ചു. പക്ഷേ അതും ബ്ലോക്ക് ചെയ്‌തു.

ചിത്രം 11: ക്ഷുദ്രകരമായ ഉള്ളടക്കമുള്ള പവർഷെൽ തടഞ്ഞു.


ചിത്രം 12: ക്ഷുദ്രകരമായ ഉള്ളടക്കമുള്ള പവർഷെൽ തടഞ്ഞു.

4. ലോഡർ

അത് പ്രവർത്തിക്കുമ്പോൾ, അത് ഫോൾഡറിലേക്ക് ഒരു ReadMe ഫയൽ എഴുതുന്നു. % താൽക്കാലിക%, ഇത് Ryuk-ന്റെ സാധാരണമാണ്. ഈ ഫയൽ protonmail ഡൊമെയ്‌നിലെ ഒരു ഇമെയിൽ വിലാസം ഉൾക്കൊള്ളുന്ന ഒരു ransom നോട്ടാണ്, ഈ മാൽവെയർ കുടുംബത്തിൽ ഇത് വളരെ സാധാരണമാണ്: msifelabem1981@protonmail.com

ചിത്രം 13: മോചനദ്രവ്യത്തിന്റെ ആവശ്യം

ഡൗൺലോഡർ പ്രവർത്തിക്കുമ്പോൾ, ക്രമരഹിതമായ പേരുകളുള്ള നിരവധി എക്സിക്യൂട്ടബിൾ ഫയലുകൾ അത് ലോഞ്ച് ചെയ്യുന്നത് നിങ്ങൾ ശ്രദ്ധിച്ചേക്കാം. അവ ഒരു മറഞ്ഞിരിക്കുന്ന ഫോൾഡറിൽ സൂക്ഷിച്ചിരിക്കുന്നു. പബ്ലിക്, പക്ഷേ ഓപ്പറേറ്റിംഗ് സിസ്റ്റത്തിൽ ഓപ്ഷൻ സജീവമല്ലെങ്കിൽ മറഞ്ഞിരിക്കുന്ന ഫയലുകളും ഫോൾഡറുകളും കാണിക്കുക, അവ മറഞ്ഞിരിക്കും. മാത്രമല്ല, ഈ ഫയലുകൾ 64-ബിറ്റാണ്, മാതൃ ഫയലിൽ നിന്ന് വ്യത്യസ്തമായി, അതായത് 32-ബിറ്റ്.

ചിത്രം 14: സാമ്പിൾ ഉപയോഗിച്ച് പ്രവർത്തിപ്പിക്കാവുന്ന ഫയലുകൾ സമാരംഭിച്ചു.

മുകളിലുള്ള ചിത്രത്തിൽ നിങ്ങൾക്ക് കാണാനാകുന്നതുപോലെ, Ryuk എല്ലാ ACL-കളും (ആക്സസ് കൺട്രോൾ ലിസ്റ്റുകൾ) പരിഷ്കരിക്കാൻ ഉപയോഗിക്കുന്ന icacls.exe പ്രവർത്തിപ്പിക്കുന്നു, അങ്ങനെ ആക്സസ്, ഫ്ലാഗ് മാറ്റങ്ങൾ ഉറപ്പാക്കുന്നു.

പിശകുകൾ (/C) പരിഗണിക്കാതെയും സന്ദേശങ്ങളൊന്നും പ്രദർശിപ്പിക്കാതെയും (/Q) എല്ലാ ഉപയോക്താക്കൾക്കും കീഴിൽ ഉപകരണത്തിലെ എല്ലാ ഫയലുകളിലേക്കും പൂർണ്ണ ആക്‌സസ് ലഭിക്കുന്നു (/T).

ചിത്രം 15: സാമ്പിൾ സമാരംഭിച്ച icacls.exe ന്റെ എക്സിക്യൂഷൻ പാരാമീറ്ററുകൾ

Ryuk വിൻഡോസിന്റെ ഏത് പതിപ്പാണ് പ്രവർത്തിക്കുന്നതെന്ന് പരിശോധിക്കുന്നത് ശ്രദ്ധിക്കേണ്ടതാണ്. ഇത് ചെയ്യുന്നതിന്, അത്
ഉപയോഗിച്ച് ഒരു പതിപ്പ് പരിശോധന നടത്തുന്നു ഗെറ്റ്‌വേർഷൻഎക്സ്ഡബ്ല്യു, അതിൽ അത് പതാകയുടെ മൂല്യം പരിശോധിക്കുന്നു lpVersionInformation (എൽപി പതിപ്പ് വിവരങ്ങൾ), വിൻഡോസിന്റെ നിലവിലെ പതിപ്പ് പിന്നീട് വന്നതാണോ എന്ന് കാണിക്കുന്നു വിൻഡോസ് എക്സ്പി.

നിങ്ങൾ Windows XP-യേക്കാൾ പുതിയ പതിപ്പാണോ പ്രവർത്തിപ്പിക്കുന്നത് എന്നതിനെ ആശ്രയിച്ച്, ബൂട്ട്ലോഡർ ലോക്കൽ യൂസർ ഫോൾഡറിലേക്ക് എഴുതും - ഈ സാഹചര്യത്തിൽ, ഫോൾഡർ %പൊതു%.

ചിത്രം 17: ഓപ്പറേറ്റിംഗ് സിസ്റ്റം പതിപ്പ് പരിശോധിക്കുന്നു.

എഴുതിക്കൊണ്ടിരിക്കുന്ന ഫയൽ Ryuk ആണ്. പിന്നീട് അത് അത് പ്രവർത്തിപ്പിക്കുകയും, സ്വന്തം വിലാസം ഒരു പാരാമീറ്ററായി നൽകുകയും ചെയ്യുന്നു.

ചിത്രം 18: ShellExecute വഴി Ryuk നടപ്പിലാക്കുന്നു

Ryuk ആദ്യം ചെയ്യുന്നത് ഇൻപുട്ട് പാരാമീറ്ററുകൾ സ്വീകരിക്കുക എന്നതാണ്. ഇത്തവണ, രണ്ട് ഇൻപുട്ട് പാരാമീറ്ററുകൾ ഉണ്ട് (എക്സിക്യൂട്ടബിൾ തന്നെയും ഡ്രോപ്പർ വിലാസവും), അവ സ്വന്തം ട്രെയ്‌സുകൾ നീക്കം ചെയ്യാൻ ഉപയോഗിക്കുന്നു.

ചിത്രം 19: ഒരു പ്രക്രിയ സൃഷ്ടിക്കൽ

എക്സിക്യൂട്ടബിളുകൾ പ്രവർത്തിപ്പിച്ചുകഴിഞ്ഞാൽ, അത് സ്വയം ഇല്ലാതാക്കുമെന്നും, അങ്ങനെ അത് എക്സിക്യൂട്ട് ചെയ്ത ഫോൾഡറിൽ അതിന്റെ സാന്നിധ്യത്തിന്റെ ഒരു സൂചനയും അവശേഷിപ്പിക്കില്ലെന്നും നിങ്ങൾക്ക് കാണാൻ കഴിയും.

ചിത്രം 20: ഒരു ഫയൽ ഇല്ലാതാക്കൽ

5. റ്യുക്

5.1 സാന്നിധ്യം
മറ്റ് മാൽവെയറുകളെപ്പോലെ, റ്യൂക്കും സിസ്റ്റത്തിൽ കഴിയുന്നത്ര കാലം നിലനിൽക്കാൻ ശ്രമിക്കുന്നു. മുകളിൽ കാണിച്ചിരിക്കുന്നതുപോലെ, ഇത് നേടാനുള്ള ഒരു മാർഗം രഹസ്യമായി എക്സിക്യൂട്ടബിൾ ഫയലുകൾ സൃഷ്ടിച്ച് പ്രവർത്തിപ്പിക്കുക എന്നതാണ്. ഇതിനുള്ള ഏറ്റവും സാധാരണമായ രീതി ഒരു രജിസ്ട്രി കീ പരിഷ്കരിക്കുക എന്നതാണ്. കറന്റ് വേർഷൻ റൺ.
ഈ സാഹചര്യത്തിൽ, ഈ ആവശ്യത്തിനായി എക്സിക്യൂട്ട് ചെയ്യേണ്ട ആദ്യ ഫയൽ നിങ്ങൾക്ക് കാണാൻ കഴിയും VWjRF.exe
(ഫയൽ നാമം ക്രമരഹിതമായി സൃഷ്ടിച്ചതാണ്) സമാരംഭിക്കുന്നു. cmd.exe.

ചിത്രം 21: VWjRF.exe ഫയൽ എക്സിക്യൂട്ട് ചെയ്യുന്നു

അപ്പോൾ കമാൻഡ് നൽകുന്നു RUN "എന്ന പേരിൽsvchos (സ്വിച്ച്ഓസ്)". അതിനാൽ, നിങ്ങളുടെ രജിസ്ട്രി കീകൾ എപ്പോൾ വേണമെങ്കിലും പരിശോധിച്ചാൽ, ഈ പേരിന്റെ svchost എന്നതുമായി സാമ്യമുള്ളതിനാൽ, നിങ്ങൾക്ക് ഈ മാറ്റം എളുപ്പത്തിൽ നഷ്ടമായേക്കാം. സിസ്റ്റത്തിൽ അതിന്റെ സാന്നിധ്യം ഉറപ്പാക്കാൻ Ryuk ഈ കീ ഉപയോഗിക്കുന്നു. സിസ്റ്റം ഇതുവരെ ബാധിച്ചിട്ടില്ലെങ്കിൽ, നിങ്ങൾ റീബൂട്ട് ചെയ്യുമ്പോൾ എക്സിക്യൂട്ടബിൾ ഫയൽ വീണ്ടും ശ്രമിക്കും.

ചിത്രം 22: രജിസ്ട്രി കീയിൽ സാമ്പിൾ സാന്നിധ്യം ഉറപ്പാക്കുന്നു.

ഈ എക്സിക്യൂട്ടബിൾ രണ്ട് സേവനങ്ങളെ നിർത്തുന്നതായും നമുക്ക് കാണാൻ കഴിയും:
"ഓഡിയോ എൻഡ്‌പോയിന്റ് ബിൽഡർ", പേര് സൂചിപ്പിക്കുന്നത് പോലെ, സിസ്റ്റം ഓഡിയോയുമായി യോജിക്കുന്ന,

ചിത്രം 23: സാമ്പിൾ സിസ്റ്റം ഓഡിയോ സേവനം നിർത്തുന്നു.

и സാംസ്, ഇത് അക്കൗണ്ട് മാനേജ്മെന്റ് സേവനമാണ്. ഈ രണ്ട് സേവനങ്ങളും നിർത്തുന്നത് Ryuk-ന്റെ ഒരു സ്വഭാവമാണ്. ഈ സാഹചര്യത്തിൽ, സിസ്റ്റം ഒരു SIEM സിസ്റ്റവുമായി ബന്ധിപ്പിച്ചിട്ടുണ്ടെങ്കിൽ, ransomware അയയ്ക്കുന്നത് നിർത്താൻ ശ്രമിക്കുന്നു സീം മുന്നറിയിപ്പുകളൊന്നും നൽകുന്നില്ല. ഇത് അദ്ദേഹത്തിന്റെ അടുത്ത ഘട്ടങ്ങളെ സംരക്ഷിക്കുന്നു, കാരണം Ryuk നടപ്പിലാക്കിയതിനുശേഷം ചില SAM സേവനങ്ങൾ ശരിയായി ആരംഭിക്കാൻ കഴിയില്ല.

ചിത്രം 24: സാമ്പിൾ Samss സേവനം നിർത്തുന്നു

5.2 പ്രിവിലേജുകൾ

സാധാരണയായി പറഞ്ഞാൽ, Ryuk ഒരു നെറ്റ്‌വർക്കിനുള്ളിൽ ലാറ്ററൽ ആയി നീങ്ങുന്നതിലൂടെയോ അല്ലെങ്കിൽ അത് മറ്റൊരു മാൽവെയർ വഴി ലോഞ്ച് ചെയ്യപ്പെടുന്നതിലൂടെയോ ആരംഭിക്കുന്നു, ഉദാഹരണത്തിന് Emotet അഥവാ ട്രിക്ബോട്ട്, ഇത്, പ്രിവിലേജ് വർദ്ധനവ് സംഭവിക്കുമ്പോൾ, ഈ ഉയർന്ന അവകാശങ്ങൾ റാൻസംവെയറിലേക്ക് മാറ്റുന്നു.

നടപ്പിലാക്കൽ പ്രക്രിയയുടെ മുന്നോടിയായി, മുൻകൂട്ടി, അദ്ദേഹം ആ പ്രക്രിയ നിർവഹിക്കുന്നത് നാം കാണുന്നു സ്വയം ആൾമാറാട്ടം നടത്തുക, അതായത് ആക്‌സസ് ടോക്കണിന്റെ സുരക്ഷാ ഉള്ളടക്കങ്ങൾ സ്ട്രീമിലേക്ക് കൈമാറും, അവിടെ അത് ഉടനടി വീണ്ടെടുക്കും. കറന്റ് ത്രെഡ് നേടുക.

ചിത്രം 25: ആൾമാറാട്ടം (impersonateSelf) എന്ന് വിളിക്കൽ

അപ്പോൾ നമുക്ക് അത് ഫ്ലോയുമായി ഒരു ആക്സസ് ടോക്കണിനെ ബന്ധിപ്പിക്കുന്നതായി കാണാം. ഫ്ലാഗുകളിലൊന്ന് ആഗ്രഹിച്ച ആക്‌സസ്, ത്രെഡിന് ലഭിക്കുന്ന ആക്‌സസ് നിയന്ത്രിക്കാൻ ഇത് ഉപയോഗിക്കാം. ഈ സാഹചര്യത്തിൽ, edx-ന് ലഭിക്കുന്ന മൂല്യം ഇതായിരിക്കണം ടോക്കൺ_എല്ലാ_എസിഎസ്എസ് അല്ലെങ്കിൽ - ടോക്കൺ_റൈറ്റ്.

അരി. 26: ഒരു ഫ്ലോ ടോക്കൺ സൃഷ്ടിക്കൽ

പിന്നെ അവൻ ഉപയോഗിക്കും സെഡെബഗ്പ്രിവിലേജ് കൂടാതെ ത്രെഡിൽ ഡീബഗ് അനുമതികൾ ലഭിക്കുന്നതിന് ഒരു കോൾ ചെയ്യും, അതിന്റെ ഫലമായി, വ്യക്തമാക്കുന്നതിലൂടെ പ്രോസസ്സ്_എല്ലാ_ആക്സസും, ആവശ്യമായ ഏത് പ്രക്രിയയിലേക്കും അതിന് പ്രവേശിക്കാൻ കഴിയും. ഇപ്പോൾ, റാൻസംവെയറിന് ഇതിനകം തയ്യാറാക്കിയ ഒരു സ്ട്രീം ഉള്ളതിനാൽ, അവസാന ഘട്ടത്തിലേക്ക് പോകുക മാത്രമാണ് അവശേഷിക്കുന്നത്.

ചിത്രം 27: SeDebugPrivilege കോൾ ആൻഡ് പ്രിവിലേജ് എസ്കലേഷൻ ഫംഗ്ഷൻ

ഒരു വശത്ത്, ഞങ്ങൾക്ക് LookupPrivilegeValueW ഉണ്ട്, അത് ഞങ്ങൾ വർദ്ധിപ്പിക്കാൻ ആഗ്രഹിക്കുന്ന പ്രത്യേകാവകാശങ്ങളെക്കുറിച്ചുള്ള ആവശ്യമായ വിവരങ്ങൾ നൽകുന്നു.

ചിത്രം 28: എസ്കലേഷനുള്ള പ്രിവിലേജുകളെക്കുറിച്ചുള്ള വിവരങ്ങൾ അഭ്യർത്ഥിക്കുന്നു

മറുവശത്ത്, നമുക്ക് അഡ്ജസ്റ്റ് ടോക്കൺ പ്രിവിലേജുകൾ, ഇത് ഞങ്ങളുടെ സ്ട്രീമിന് ആവശ്യമായ അവകാശങ്ങൾ നേടാൻ ഞങ്ങളെ അനുവദിക്കുന്നു. ഈ സാഹചര്യത്തിൽ, ഏറ്റവും പ്രധാനപ്പെട്ട കാര്യം ന്യൂസ്റ്റേറ്റ്, ആരുടെ പതാക പ്രത്യേകാവകാശങ്ങൾ നൽകും.

ചിത്രം 29: ടോക്കൺ അനുമതികൾ സജ്ജീകരിക്കുന്നു

5.3 നടപ്പിലാക്കൽ

ഈ വിഭാഗത്തിൽ, ഈ റിപ്പോർട്ടിൽ മുമ്പ് സൂചിപ്പിച്ച നടപ്പാക്കൽ പ്രക്രിയ സാമ്പിൾ എങ്ങനെ നിർവഹിക്കുന്നുവെന്ന് ഞങ്ങൾ കാണിക്കും.

നടപ്പാക്കൽ പ്രക്രിയയുടെ പ്രധാന ലക്ഷ്യവും, അതുപോലെ തന്നെ വർദ്ധനവും, ആക്സസ് നേടുക എന്നതാണ് ഷാഡോ കോപ്പികൾഇത് ചെയ്യുന്നതിന്, ലോക്കൽ ഉപയോക്താവിനേക്കാൾ ഉയർന്ന പ്രിവിലേജുകളുള്ള ഒരു ത്രെഡിൽ ഇത് പ്രവർത്തിക്കേണ്ടതുണ്ട്. ഈ ഉയർന്ന പ്രിവിലേജുകൾ ലഭിച്ചുകഴിഞ്ഞാൽ, അത് പകർപ്പുകൾ ഇല്ലാതാക്കുകയും ഓപ്പറേറ്റിംഗ് സിസ്റ്റത്തിലെ മുമ്പത്തെ പുനഃസ്ഥാപിക്കൽ പോയിന്റിലേക്ക് മടങ്ങുന്നത് അസാധ്യമാക്കുന്നതിന് മറ്റ് പ്രക്രിയകൾ പരിഷ്കരിക്കുകയും ചെയ്യും.

ഈ തരത്തിലുള്ള മാൽവെയറുകളുടെ കാര്യത്തിൽ സാധാരണ പോലെ, ഇത് കുത്തിവയ്പ്പ് നടത്താൻ ഒരു പേലോഡ് ഉപയോഗിക്കുന്നു. CreateToolHelp32സ്നാപ്പ്ഷോട്ട്, അതിനാൽ ഇത് നിലവിൽ പ്രവർത്തിക്കുന്ന പ്രക്രിയകളുടെ ഒരു സ്നാപ്പ്ഷോട്ട് എടുത്ത് ആ പ്രക്രിയകൾ ആക്സസ് ചെയ്യാൻ ശ്രമിക്കുന്നു ഓപ്പൺപ്രോസസ്പ്രോസസ്സിലേക്ക് ആക്‌സസ് ലഭിച്ചുകഴിഞ്ഞാൽ, പ്രോസസ്സ് പാരാമീറ്ററുകൾ ലഭിക്കുന്നതിന് അതിന്റെ വിവരങ്ങളുള്ള ഒരു ടോക്കണും അത് തുറക്കുന്നു.

ചിത്രം 30: ഒരു കമ്പ്യൂട്ടറിൽ നിന്ന് പ്രക്രിയകൾ സ്വീകരിക്കുന്നു

CreateToolhelp32Snapshot ഉപയോഗിച്ച് 140002D9C സബ്റൂട്ടീനിൽ പ്രവർത്തിക്കുന്ന പ്രോസസ്സുകളുടെ ഒരു ലിസ്റ്റ് അത് എങ്ങനെ ഡൈനാമിക് ആയി വീണ്ടെടുക്കുന്നുവെന്ന് നമുക്ക് കാണാൻ കഴിയും. അത് അവ വീണ്ടെടുത്തുകഴിഞ്ഞാൽ, അത് ലിസ്റ്റിലൂടെ ആവർത്തിക്കുന്നു, അത് വിജയിക്കുന്നതുവരെ OpenProcess ഉപയോഗിച്ച് ഓരോ പ്രോസസ്സും ഓരോന്നായി തുറക്കാൻ ശ്രമിക്കുന്നു. ഈ സാഹചര്യത്തിൽ, അത് തുറക്കാൻ കഴിഞ്ഞ ആദ്യ പ്രോസസ്സ് ടാസ്‌ക്ഹോസ്റ്റ്.എക്സ്ഇ.

ചിത്രം 31: ഒരു പ്രക്രിയ ലഭിക്കുന്നതിനുള്ള ഒരു നടപടിക്രമത്തിന്റെ ഡൈനാമിക് എക്സിക്യൂഷൻ

അത് പിന്നീട് പ്രോസസ് ടോക്കൺ വിവരങ്ങൾ വായിക്കുന്നതായി നമുക്ക് കാണാൻ കഴിയും, അതിനാൽ അത് വിളിക്കുന്നു ഓപ്പൺപ്രോസസ് ടോക്കൺ " എന്ന പാരാമീറ്റർ ഉപയോഗിച്ച്20008"

ചിത്രം 32: പ്രക്രിയ ടോക്കൺ വിവരങ്ങൾ വായിക്കുന്നു

ഇത് നടപ്പിലാക്കുന്ന പ്രക്രിയ അല്ലെന്നും ഇത് പരിശോധിക്കുന്നു csrss.exe, എക്സ്പ്ലോറർ.എക്സ്ഇ, എൽഎസ്എഎഎസ്.എക്സ്ഇ അല്ലെങ്കിൽ അയാൾക്ക് ഒരു കൂട്ടം അവകാശങ്ങളുണ്ടെന്ന് NT അതോറിറ്റി.

ചിത്രം 33: ഒഴിവാക്കപ്പെട്ട പ്രക്രിയകൾ

പ്രോസസ് ടോക്കൺ വിവരങ്ങൾ ഉപയോഗിച്ച് അത് ആദ്യം ഒരു പരിശോധന എങ്ങനെ നടത്തുന്നുവെന്ന് നമുക്ക് ചലനാത്മകമായി കാണാൻ കഴിയും 140002D9C പ്രക്രിയ നടപ്പിലാക്കാൻ അവകാശങ്ങൾ ഉപയോഗിക്കുന്ന അക്കൗണ്ട് അക്കൗണ്ട് ആണോ എന്ന് കണ്ടെത്താൻ എൻ‌ടി അതോറിറ്റി.

അരി. 34: NT അതോറിറ്റി പരിശോധന

പിന്നീട്, നടപടിക്രമത്തിന് പുറത്ത്, അത് അങ്ങനെയല്ലെന്ന് അദ്ദേഹം പരിശോധിക്കുന്നു csrss.exe, എക്സ്പ്ലോറർ.exe അഥവാ lsaas.exe - ലോഗോ.

അരി. 35: NT അതോറിറ്റി പരിശോധന

പ്രക്രിയകളുടെ ഒരു സ്നാപ്പ്ഷോട്ട് എടുത്ത്, പ്രക്രിയകൾ തുറന്ന്, അവയിൽ ഒന്നും ഒഴിവാക്കിയിട്ടില്ലെന്ന് പരിശോധിച്ചുറപ്പിച്ചുകഴിഞ്ഞാൽ, മെമ്മറിയിലേക്ക് കുത്തിവയ്ക്കേണ്ട പ്രക്രിയകൾ എഴുതാൻ അത് തയ്യാറാകും.

ഇത് ചെയ്യുന്നതിന്, അത് ആദ്യം മെമ്മറിയിൽ ഒരു പ്രദേശം കരുതിവയ്ക്കുന്നു (വെർച്വൽഅലോക്ക്എക്സ്), അതിൽ എഴുതുന്നു (റൈറ്റ്പ്രോസസ്മെമ്മറി) ഒരു സ്ട്രീം സൃഷ്ടിക്കുന്നു (റിമോട്ട് ത്രെഡ് സൃഷ്ടിക്കുക). ഈ ഫംഗ്ഷനുകളുമായി പ്രവർത്തിക്കാൻ, ഇത് മുമ്പ് നേടിയ തിരഞ്ഞെടുത്ത പ്രക്രിയകളുടെ PID-കൾ ഉപയോഗിക്കുന്നു. CreateToolhelp32സ്നാപ്പ്ഷോട്ട്.

ചിത്രം 36: എംബെഡ് കോഡ്

ഫംഗ്ഷൻ വിളിക്കാൻ പ്രോസസ് PID എങ്ങനെ ഉപയോഗിക്കുന്നുവെന്ന് ഇവിടെ നമുക്ക് ചലനാത്മകമായി നിരീക്ഷിക്കാൻ കഴിയും. വെർച്വൽ അലോക്ക്എക്സ്.

ചിത്രം 37: VirtualAllocEx വിളിക്കുന്നു

5.4 എൻക്രിപ്ഷൻ
ഈ വിഭാഗത്തിൽ, ഈ സാമ്പിളിന്റെ എൻക്രിപ്ഷൻ ഭാഗം നമ്മൾ പരിശോധിക്കും. താഴെ കൊടുത്തിരിക്കുന്ന ചിത്രത്തിൽ, "" എന്ന് പേരുള്ള രണ്ട് സബ്റൂട്ടീനുകൾ നിങ്ങൾക്ക് കാണാൻ കഴിയും.ലോഡ്ലൈബ്രറി_എൻകോഡ്സ്ട്രിംഗ്"ഒപ്പം"എൻകോഡ്_ഫങ്ക്", എൻക്രിപ്ഷൻ നടപടിക്രമം നടപ്പിലാക്കുന്നതിന് ഉത്തരവാദികളായവ.

ചിത്രം 38: എൻക്രിപ്ഷൻ നടപടിക്രമങ്ങൾ

തുടക്കത്തിൽ തന്നെ, ഇമ്പോർട്ടുകൾ, ഡിഎൽഎൽ-കൾ, കമാൻഡുകൾ, ഫയലുകൾ, സിഎസ്പി-കൾ എന്നിങ്ങനെ ആവശ്യമുള്ളതെല്ലാം ഡീബ്ഫസ്കേറ്റ് ചെയ്യാൻ ഉപയോഗിക്കുന്ന ഒരു സ്ട്രിംഗ് എങ്ങനെ ലോഡ് ചെയ്യുന്നുവെന്ന് നമുക്ക് കാണാൻ കഴിയും.

ചിത്രം 39: ഡീബ്ഫസ്കേഷൻ ചെയിൻ

താഴെ കൊടുത്തിരിക്കുന്ന ചിത്രം R4 രജിസ്റ്ററിൽ ഇത് ഡീബ്ഫസ്കേറ്റ് ചെയ്യുന്ന ആദ്യ ഇറക്കുമതി കാണിക്കുന്നു, ലോഡ് ലൈബ്രറിഇത് പിന്നീട് ആവശ്യമായ DLL-കൾ ലോഡ് ചെയ്യാൻ ഉപയോഗിക്കും. രജിസ്റ്റർ R12-ൽ മറ്റൊരു സ്ട്രിംഗും നമുക്ക് കാണാൻ കഴിയും, ഇത് മുമ്പത്തെ സ്ട്രിംഗുമായി സംയോജിച്ച് ഡീബ്ഫസ്കേഷൻ നടത്താൻ ഉപയോഗിക്കുന്നു.

ചിത്രം 40: ഡൈനാമിക് ഡീഒബ്ഫസ്കേഷൻ

ബാക്കപ്പുകൾ, പുനഃസ്ഥാപിക്കൽ പോയിന്റുകൾ, സുരക്ഷിത ബൂട്ട് മോഡുകൾ എന്നിവ പ്രവർത്തനരഹിതമാക്കുന്നതിന് പിന്നീട് എക്സിക്യൂട്ട് ചെയ്യുന്ന കമാൻഡുകൾ അത് ലോഡ് ചെയ്യുന്നത് തുടരുന്നു.

ചിത്രം 41: കമാൻഡുകൾ ലോഡുചെയ്യുന്നു

പിന്നെ അവൻ 3 ഫയലുകൾ ഇടുന്ന ഒരു സ്ഥലം ലോഡ് ചെയ്യുന്നു: വിൻഡോസ്.ബാറ്റ്, റൺ.എസ്.സി.ടി. и സ്റ്റാർട്ട്.ബാറ്റ്.

ചിത്രം 42: ഫയൽ സ്ഥാനങ്ങൾ

ഓരോ സ്ഥലത്തിന്റെയും പ്രിവിലേജുകൾ പരിശോധിക്കാൻ ഈ മൂന്ന് ഫയലുകളും ഉപയോഗിക്കുന്നു. ആവശ്യമായ പ്രിവിലേജുകൾ ലഭ്യമല്ലെങ്കിൽ, Ryuk എക്സിക്യൂഷൻ നിർത്തുന്നു.

മൂന്ന് ഫയലുകളുമായി ബന്ധപ്പെട്ട വരികൾ ലോഡ് ചെയ്യുന്നത് ഇത് തുടരുന്നു. ആദ്യത്തേത്, DECRYPT_INFORMATION.html, ഫയലുകൾ വീണ്ടെടുക്കാൻ ആവശ്യമായ വിവരങ്ങൾ ഉൾക്കൊള്ളുന്നു. രണ്ടാമത്തേത്, പബ്ലിക്, എന്നതിൽ RSA പബ്ലിക് കീ അടങ്ങിയിരിക്കുന്നു.

ചിത്രം 43: DECRYPT INFORMATION.html ലൈൻ

മൂന്നാമത്, അദ്വിതീയമായ_ഐഡി_നീക്കംചെയ്യരുത്_ചെയ്യുക, അടുത്ത റൂട്ടീനിൽ എൻക്രിപ്ഷൻ നടത്തുന്നതിനായി ഉപയോഗിക്കുന്ന എൻക്രിപ്റ്റ് ചെയ്ത കീ അടങ്ങിയിരിക്കുന്നു.

ചിത്രം 44: യുണീക്ക് ഐഡി നീക്കം ചെയ്യരുത് ലൈൻ

ഒടുവിൽ, ആവശ്യമായ ലൈബ്രറികളും ആവശ്യമായ ഇംപോർട്ടുകളും CSP-യും ഇത് ലോഡ് ചെയ്യുന്നു (മൈക്രോസോഫ്റ്റ് എൻഹാൻസ്ഡ് ആർഎസ്എ и AES ക്രിപ്‌റ്റോഗ്രാഫിക് ദാതാവ്).

ചിത്രം 45: ലൈബ്രറികൾ ലോഡുചെയ്യുന്നു

എല്ലാ ഡീഓബ്ഫസ്കേഷനും പൂർത്തിയായിക്കഴിഞ്ഞാൽ, എൻക്രിപ്ഷന് ആവശ്യമായ പ്രവർത്തനങ്ങൾ അത് നിർവഹിക്കുന്നു: എല്ലാ ലോജിക്കൽ ഡ്രൈവുകളും എണ്ണുക, മുമ്പത്തെ സബ്റൂട്ടീനിൽ ലോഡ് ചെയ്തത് എക്സിക്യൂട്ട് ചെയ്യുക, സിസ്റ്റത്തിൽ അതിന്റെ സാന്നിധ്യം ശക്തിപ്പെടുത്തുക, RyukReadMe.html ഫയൽ ഉപേക്ഷിക്കുക, എൻക്രിപ്ഷൻ, എല്ലാ നെറ്റ്‌വർക്ക് ഡ്രൈവുകളും എണ്ണുക, കണ്ടെത്തിയ ഉപകരണങ്ങളിലേക്ക് മാറുകയും അവയെ എൻക്രിപ്റ്റ് ചെയ്യുകയും ചെയ്യുക.
ഇതെല്ലാം ലോഡുചെയ്യുന്നതിലൂടെ ആരംഭിക്കുന്നു "cmd.exe"കൂടാതെ പൊതു RSA കീയുടെ രേഖകളും.

ചിത്രം 46: എൻക്രിപ്ഷനായി തയ്യാറെടുക്കുന്നു

പിന്നെ അത് ഉപയോഗിച്ച് എല്ലാ ലോജിക്കൽ ഡ്രൈവുകളും ലഭിക്കുന്നു ഗെറ്റ്ലോജിക്കൽഡ്രൈവുകൾ കൂടാതെ എല്ലാ ബാക്കപ്പുകളും, പുനഃസ്ഥാപിക്കൽ പോയിന്റുകളും, സുരക്ഷിത ബൂട്ട് മോഡുകളും പ്രവർത്തനരഹിതമാക്കുന്നു.

ചിത്രം 47: വീണ്ടെടുക്കൽ ഉപകരണങ്ങൾ നിർജ്ജീവമാക്കുന്നു

ഇതിനുശേഷം, നമ്മൾ മുകളിൽ കണ്ടതുപോലെ, അത് സിസ്റ്റത്തിൽ അതിന്റെ സാന്നിധ്യം ശക്തിപ്പെടുത്തുകയും ആദ്യ ഫയൽ എഴുതുകയും ചെയ്യുന്നു. റ്യൂക് റീഡ്മീ.എച്ച്ടിഎംഎൽ в TEMP.

ചിത്രം 48: ഒരു മോചനദ്രവ്യ നോട്ടീസ് പ്രസിദ്ധീകരിക്കൽ

താഴെ കൊടുത്തിരിക്കുന്ന ചിത്രത്തിൽ അത് ഒരു ഫയൽ എങ്ങനെ സൃഷ്ടിക്കുന്നുവെന്നും, ഉള്ളടക്കങ്ങൾ ലോഡ് ചെയ്യുന്നതെന്നും, എഴുതുന്നതെന്നും നിങ്ങൾക്ക് കാണാൻ കഴിയും:

ചിത്രം 49: ഫയൽ ഉള്ളടക്കങ്ങൾ ലോഡുചെയ്യുകയും എഴുതുകയും ചെയ്യുന്നു.

എല്ലാ ഉപകരണങ്ങളിലും ഒരേ പ്രവർത്തനങ്ങൾ നടത്താൻ കഴിയുന്നതിന്, ഇത് ഉപയോഗിക്കുന്നു
"icacls.exe - ക്ലൗഡിൽ ഓൺലൈനിൽ", ഞങ്ങൾ മുകളിൽ കാണിച്ചതുപോലെ.

ചിത്രം 50: icalcls.exe ഉപയോഗിക്കുന്നു

ഒടുവിൽ, *.exe, *.dll, സിസ്റ്റം ഫയലുകൾ, എൻക്രിപ്റ്റ് ചെയ്ത വൈറ്റ്‌ലിസ്റ്റിൽ വ്യക്തമാക്കിയ മറ്റ് ലൊക്കേഷനുകൾ എന്നിവ ഒഴികെയുള്ള ഫയലുകൾ എൻക്രിപ്റ്റ് ചെയ്യാൻ ഇത് ആരംഭിക്കുന്നു. ഇത് ചെയ്യുന്നതിന്, ഇത് ഇമ്പോർട്ടുകൾ ഉപയോഗിക്കുന്നു: ക്രിപ്റ്റ്അക്വയർ കോൺടെക്സ്റ്റ്ഡബ്ല്യു (AES, RSA എന്നിവയുടെ ഉപയോഗം സൂചിപ്പിക്കുന്നിടത്ത്), ക്രിപ്റ്റ്ഡെറിവ്കീ, ക്രിപ്റ്റ്ജെൻകീ, ക്രിപ്റ്റ്ഡെസ്ട്രോയ്കീ WNetEnumResourceW ഉപയോഗിച്ച് കണ്ടെത്തിയ നെറ്റ്‌വർക്ക് ഉപകരണങ്ങളിലേക്ക് അതിന്റെ പ്രവർത്തനം വ്യാപിപ്പിക്കാനും തുടർന്ന് അവയെ എൻക്രിപ്റ്റ് ചെയ്യാനും ശ്രമിക്കുന്നു.

ചിത്രം 51: സിസ്റ്റം ഫയലുകൾ എൻക്രിപ്റ്റ് ചെയ്യുന്നു

6. ഇറക്കുമതികളും അനുബന്ധ പതാകകളും

സാമ്പിൾ ഉപയോഗിക്കുന്ന ഏറ്റവും പ്രസക്തമായ ഇറക്കുമതികളും ഫ്ലാഗുകളും പട്ടികപ്പെടുത്തുന്ന ഒരു പട്ടിക ചുവടെയുണ്ട്:

7. ഐ.ഒ.സി.

റെഫറൻസുകൾ

• ഉപയോക്താക്കൾ പബ്ലിക്ക്രൺ.എസ്.സി.ടി.
• സ്റ്റാർട്ട് മെനുപ്രോഗ്രാംസ്സ്റ്റാർട്ടപ്പ്സ്റ്റാർട്ട്.ബാറ്റ് ആപ്പ്ഡാറ്ററോമിംഗ്മൈക്രോസോഫ്റ്റ്വിൻഡോസ്സ്റ്റാർട്ട്
• മെനുപ്രോഗ്രാംസ്സ്റ്റാർട്ടപ്പ്സ്റ്റാർട്ട്.ബാറ്റ്

പാണ്ടലാബ്‌സ് ആന്റിവൈറസ് ലബോറട്ടറിയിലെ വിദഗ്ധർ റ്യൂക്ക് റാൻസംവെയറിനെക്കുറിച്ചുള്ള ഒരു സാങ്കേതിക റിപ്പോർട്ട് സമാഹരിച്ചു.

8. ലിങ്കുകൾ

1. “Everis y Prisa Radio sufren un grave ciberataque que secuestra sus sistemas.”https://www. elconfidencial.com/tecnologia/2019-11-04/everis-la-ser-ciberataque-ransomware-15_2312019/, Publicada el 04/11/2019.

2. "അൺ വൈറസ് ഡി ഒറിജൻ റൂസോ അറ്റാക്ക എ ഇംപ്രെസസ് എംപ്രെസാസ് എസ്പാനോലസ്." https: //elpais.com/tecnologia/2019/11/04/actualidad/1572897654_ 251312.html, Publicada el 04/11/2019.

3. “VB2019 പേപ്പർ: ഷിനിഗാമിയുടെ പ്രതികാരം: റ്യൂക്ക് മാൽവെയറിന്റെ നീണ്ട വാൽ.” https://securelist.com/story-of-the-year-2019-cities-under-ransomware-siege/95456/, പ്രസിദ്ധീകരിച്ചത് 12/11/2019

4. “റ്യൂക്കുമായുള്ള വലിയ ഗെയിം വേട്ട: മറ്റൊരു ലാഭകരമായ ടാർഗെറ്റഡ് റാൻസംവെയർ.” https://www. crowdstrike.com/blog/big-game-hunting-with-ryuk-another-lucrative-targeted-ransomware/, 01/10/2019 ന് പ്രസിദ്ധീകരിച്ചു.

5. “VB2019 പേപ്പർ: ഷിനിഗാമിയുടെ പ്രതികാരം: റ്യൂക്ക് മാൽവെയറിന്റെ നീണ്ട വാൽ.” https://www. virusbulletin.com/virusbulletin/2019/10/ vb2019-paper-shinigamis-revenge-long-tail-r

അവലംബം: www.habr.com