ബിസിനസുകളെ ആക്രമിക്കുന്ന Ryuk ransomware എങ്ങനെ പ്രവർത്തിക്കുന്നു

കഴിഞ്ഞ കുറച്ച് വർഷങ്ങളായി ഏറ്റവും പ്രശസ്തമായ ransomware ഓപ്ഷനുകളിലൊന്നാണ് Ryuk. 2018 ലെ വേനൽക്കാലത്ത് ആദ്യമായി പ്രത്യക്ഷപ്പെട്ടതുമുതൽ, അത് ശേഖരിച്ചു ഇരകളുടെ ശ്രദ്ധേയമായ പട്ടിക, പ്രത്യേകിച്ച് ബിസിനസ്സ് അന്തരീക്ഷത്തിൽ, അതിന്റെ ആക്രമണങ്ങളുടെ പ്രധാന ലക്ഷ്യം.

1. പൊതുവിവരം

ഈ ഡോക്യുമെന്റിൽ Ryuk ransomware വേരിയന്റിന്റെ വിശകലനവും സിസ്റ്റത്തിലേക്ക് ക്ഷുദ്രവെയർ ലോഡുചെയ്യുന്നതിന് ഉത്തരവാദിയായ ലോഡറും അടങ്ങിയിരിക്കുന്നു.

Ryuk ransomware ആദ്യമായി പ്രത്യക്ഷപ്പെട്ടത് 2018 വേനൽക്കാലത്താണ്. Ryuk ഉം മറ്റ് ransomware ഉം തമ്മിലുള്ള ഒരു വ്യത്യാസം, കോർപ്പറേറ്റ് പരിതസ്ഥിതികളെ ആക്രമിക്കാൻ ഇത് ലക്ഷ്യമിടുന്നു എന്നതാണ്.

2019 മധ്യത്തിൽ, സൈബർ ക്രിമിനൽ ഗ്രൂപ്പുകൾ ഈ ransomware ഉപയോഗിച്ച് ധാരാളം സ്പാനിഷ് കമ്പനികളെ ആക്രമിച്ചു.

അരി. 1: Ryuk ransomware ആക്രമണത്തെ സംബന്ധിച്ച എൽ കോൺഫിഡൻഷ്യലിൽ നിന്നുള്ള ഉദ്ധരണി [1]

അരി. 2: Ryuk ransomware [2] ഉപയോഗിച്ച് നടത്തിയ ഒരു ആക്രമണത്തെ കുറിച്ചുള്ള El País-ൽ നിന്നുള്ള ഉദ്ധരണി
ഈ വർഷം, റ്യൂക്ക് വിവിധ രാജ്യങ്ങളിലെ ധാരാളം കമ്പനികളെ ആക്രമിച്ചു. ചുവടെയുള്ള കണക്കുകളിൽ നിങ്ങൾക്ക് കാണാനാകുന്നതുപോലെ, ജർമ്മനി, ചൈന, അൾജീരിയ, ഇന്ത്യ എന്നിവയാണ് ഏറ്റവും കൂടുതൽ ബാധിച്ചത്.

സൈബർ ആക്രമണങ്ങളുടെ എണ്ണം താരതമ്യം ചെയ്യുന്നതിലൂടെ, Ryuk ദശലക്ഷക്കണക്കിന് ഉപയോക്താക്കളെ ബാധിക്കുകയും വൻതോതിൽ ഡാറ്റ അപഹരിക്കുകയും ഗുരുതരമായ സാമ്പത്തിക നഷ്ടത്തിന് കാരണമാവുകയും ചെയ്തതായി നമുക്ക് കാണാൻ കഴിയും.

അരി. 3: റ്യൂക്കിന്റെ ആഗോള പ്രവർത്തനത്തിന്റെ ചിത്രീകരണം.

അരി. 4: Ryuk ഏറ്റവും കൂടുതൽ ബാധിച്ചത് 16 രാജ്യങ്ങൾ

അരി. 5: Ryuk ransomware ആക്രമിക്കപ്പെട്ട ഉപയോക്താക്കളുടെ എണ്ണം (ദശലക്ഷക്കണക്കിന്)

അത്തരം ഭീഷണികളുടെ സാധാരണ പ്രവർത്തന തത്വമനുസരിച്ച്, എൻക്രിപ്ഷൻ പൂർത്തിയായതിന് ശേഷം, എൻക്രിപ്റ്റ് ചെയ്ത ഫയലുകളിലേക്കുള്ള ആക്സസ് പുനഃസ്ഥാപിക്കുന്നതിന് നിർദ്ദിഷ്ട വിലാസത്തിലേക്ക് ബിറ്റ്കോയിനുകളിൽ അടയ്‌ക്കേണ്ട ഒരു മോചനദ്രവ്യ അറിയിപ്പ് ഇരയെ ഈ ransomware കാണിക്കുന്നു.

ഈ ക്ഷുദ്രവെയർ ആദ്യമായി അവതരിപ്പിച്ചതിന് ശേഷം മാറിയിരിക്കുന്നു.
ഈ ഡോക്യുമെന്റിൽ വിശകലനം ചെയ്തിരിക്കുന്ന ഈ ഭീഷണിയുടെ വകഭേദം 2020 ജനുവരിയിൽ ഒരു ആക്രമണ ശ്രമത്തിനിടെ കണ്ടെത്തി.

അതിന്റെ സങ്കീർണ്ണത കാരണം, ഈ ക്ഷുദ്രവെയർ പലപ്പോഴും സംഘടിത സൈബർ ക്രിമിനൽ ഗ്രൂപ്പുകൾക്ക് കാരണമാകുന്നു, ഇത് APT ഗ്രൂപ്പുകൾ എന്നും അറിയപ്പെടുന്നു.

Ryuk കോഡിന്റെ ഒരു ഭാഗത്തിന് മറ്റൊരു അറിയപ്പെടുന്ന ransomware, Hermes-ന്റെ കോഡും ഘടനയുമായി ശ്രദ്ധേയമായ സാമ്യമുണ്ട്, അവയ്‌ക്കൊപ്പം അവർ സമാനമായ നിരവധി പ്രവർത്തനങ്ങൾ പങ്കിടുന്നു. അതുകൊണ്ടാണ് ആദ്യം ഹെർമിസ് ransomware-ന്റെ പിന്നിൽ എന്ന് സംശയിക്കപ്പെട്ടിരുന്ന ഉത്തര കൊറിയൻ ഗ്രൂപ്പായ Lazarus-മായി Ryuk ബന്ധപ്പെട്ടിരുന്നത്.

Ryuk യഥാർത്ഥത്തിൽ WIZARD SPIDER ഗ്രൂപ്പാണ് [4] സൃഷ്ടിച്ചതെന്ന് ക്രൗഡ്‌സ്ട്രൈക്കിന്റെ ഫാൽക്കൺ എക്സ് സേവനം പിന്നീട് രേഖപ്പെടുത്തി.

ഈ അനുമാനത്തെ പിന്തുണയ്ക്കുന്ന ചില തെളിവുകളുണ്ട്. ആദ്യം, ഈ ransomware, exploit.in എന്ന വെബ്‌സൈറ്റിൽ പരസ്യം ചെയ്‌തു, ഇത് അറിയപ്പെടുന്ന റഷ്യൻ മാൽവെയർ മാർക്കറ്റ്‌പ്ലെയ്‌സ് ആണ്, ഇത് മുമ്പ് ചില റഷ്യൻ APT ഗ്രൂപ്പുകളുമായി ബന്ധപ്പെട്ടിരുന്നു.
ഈ വസ്തുത ലസാറസ് APT ഗ്രൂപ്പ് വികസിപ്പിച്ചെടുക്കാൻ Ryuk എന്ന സിദ്ധാന്തത്തെ നിരാകരിക്കുന്നു, കാരണം അത് ഗ്രൂപ്പിന്റെ പ്രവർത്തന രീതിയുമായി പൊരുത്തപ്പെടുന്നില്ല.

കൂടാതെ, റഷ്യൻ, ഉക്രേനിയൻ, ബെലാറഷ്യൻ സിസ്റ്റങ്ങളിൽ പ്രവർത്തിക്കാത്ത ഒരു ransomware ആയി Ryuk പരസ്യം ചെയ്യപ്പെട്ടു. Ryuk-ന്റെ ചില പതിപ്പുകളിൽ കാണപ്പെടുന്ന ഒരു സവിശേഷതയാണ് ഈ സ്വഭാവം നിർണ്ണയിക്കുന്നത്, അവിടെ ransomware പ്രവർത്തിക്കുന്ന സിസ്റ്റത്തിന്റെ ഭാഷ പരിശോധിക്കുന്നു, കൂടാതെ സിസ്റ്റത്തിന് ഒരു റഷ്യൻ, ഉക്രേനിയൻ അല്ലെങ്കിൽ ബെലാറഷ്യൻ ഭാഷയുണ്ടെങ്കിൽ അത് പ്രവർത്തിക്കുന്നത് നിർത്തുന്നു. അവസാനമായി, WIZARD SPIDER ടീം ഹാക്ക് ചെയ്ത മെഷീന്റെ വിദഗ്ദ്ധ വിശകലനം, ഹെർമിസ് ransomware-ന്റെ ഒരു വകഭേദമായി Ryuk വികസിപ്പിക്കുന്നതിന് ഉപയോഗിച്ചതായി ആരോപിക്കപ്പെടുന്ന നിരവധി "ആർട്ടിഫാക്റ്റുകൾ" വെളിപ്പെടുത്തി.

മറുവശത്ത്, വിദഗ്ധരായ ഗബ്രിയേല നിക്കോളാവോയും ലൂസിയാനോ മാർട്ടിൻസും ransomware വികസിപ്പിച്ചത് APT ഗ്രൂപ്പായ ക്രിപ്‌റ്റോടെക് ആയിരിക്കാമെന്ന് അഭിപ്രായപ്പെട്ടു.
Ryuk പ്രത്യക്ഷപ്പെടുന്നതിന് കുറച്ച് മാസങ്ങൾക്ക് മുമ്പ്, ഈ ഗ്രൂപ്പ് ഹെർമിസ് ransomware-ന്റെ ഒരു പുതിയ പതിപ്പ് വികസിപ്പിച്ച അതേ സൈറ്റിന്റെ ഫോറത്തിൽ വിവരങ്ങൾ പോസ്റ്റ് ചെയ്തു എന്ന വസ്തുതയിൽ നിന്ന് ഇത് പിന്തുടരുന്നു.

CryptoTech യഥാർത്ഥത്തിൽ Ryuk സൃഷ്ടിച്ചിട്ടുണ്ടോ എന്ന് നിരവധി ഫോറം ഉപയോക്താക്കൾ ചോദ്യം ചെയ്തു. തുടർന്ന് ഗ്രൂപ്പ് സ്വയം പ്രതിരോധിക്കുകയും 100% ransomware തങ്ങൾ വികസിപ്പിച്ചെടുത്തതിന് തെളിവുണ്ടെന്ന് പറയുകയും ചെയ്തു.

2. സ്വഭാവഗുണങ്ങൾ

Ryuk ransomware-ന്റെ "ശരിയായ" പതിപ്പ് സമാരംഭിക്കുന്നതിന്, അത് ഓണാക്കിയിരിക്കുന്ന സിസ്റ്റം തിരിച്ചറിയുക എന്നതാണ് ഞങ്ങൾ ബൂട്ട്ലോഡറിൽ നിന്ന് ആരംഭിക്കുന്നത്.
ബൂട്ട്ലോഡർ ഹാഷ് ഇപ്രകാരമാണ്:

MD5 A73130B0E379A989CBA3D695A157A495
SHA256 EF231EE1A2481B7E627921468E79BB4369CCFAEB19A575748DD2B664ABC4F469

ഈ ഡൗൺലോഡറിന്റെ ഒരു സവിശേഷത അതിൽ മെറ്റാഡാറ്റയൊന്നും അടങ്ങിയിട്ടില്ല എന്നതാണ്, അതായത്. ഈ മാൽവെയറിന്റെ സ്രഷ്‌ടാക്കൾ അതിൽ ഒരു വിവരവും ഉൾപ്പെടുത്തിയിട്ടില്ല.

തങ്ങൾ ഒരു നിയമാനുസൃതമായ ആപ്ലിക്കേഷനാണ് പ്രവർത്തിപ്പിക്കുന്നതെന്ന ചിന്തയിലേക്ക് ഉപയോക്താവിനെ കബളിപ്പിക്കാൻ ചിലപ്പോൾ അവ തെറ്റായ ഡാറ്റ ഉൾപ്പെടുത്തും. എന്നിരുന്നാലും, നമ്മൾ പിന്നീട് കാണുന്നത് പോലെ, അണുബാധയിൽ ഉപയോക്തൃ ഇടപെടൽ ഉൾപ്പെടുന്നില്ലെങ്കിൽ (ഈ ransomware-ന്റെ കാര്യത്തിലെന്നപോലെ), ആക്രമണകാരികൾ മെറ്റാഡാറ്റ ഉപയോഗിക്കേണ്ടത് ആവശ്യമാണെന്ന് കരുതുന്നില്ല.

അരി. 6: സാമ്പിൾ മെറ്റാ ഡാറ്റ

സാമ്പിൾ 32-ബിറ്റ് ഫോർമാറ്റിൽ സമാഹരിച്ചതിനാൽ 32-ബിറ്റ്, 64-ബിറ്റ് സിസ്റ്റങ്ങളിൽ പ്രവർത്തിക്കാൻ കഴിയും.

3. പെനട്രേഷൻ വെക്റ്റർ

Ryuk ഡൗൺലോഡ് ചെയ്യുകയും പ്രവർത്തിപ്പിക്കുകയും ചെയ്യുന്ന സാമ്പിൾ ഒരു റിമോട്ട് കണക്ഷൻ വഴി ഞങ്ങളുടെ സിസ്റ്റത്തിൽ പ്രവേശിച്ചു, കൂടാതെ ഒരു പ്രാഥമിക RDP ആക്രമണത്തിലൂടെയാണ് ആക്സസ് പാരാമീറ്ററുകൾ ലഭിച്ചത്.

അരി. 7: ആക്രമണ രജിസ്റ്റർ

ആക്രമണകാരിക്ക് വിദൂരമായി സിസ്റ്റത്തിലേക്ക് ലോഗിൻ ചെയ്യാൻ കഴിഞ്ഞു. അതിനുശേഷം, അവൻ ഞങ്ങളുടെ സാമ്പിൾ ഉപയോഗിച്ച് ഒരു എക്സിക്യൂട്ടബിൾ ഫയൽ സൃഷ്ടിച്ചു.
പ്രവർത്തിപ്പിക്കുന്നതിന് മുമ്പ് ഈ എക്സിക്യൂട്ടബിൾ ഫയൽ ഒരു ആന്റിവൈറസ് സൊല്യൂഷൻ വഴി തടഞ്ഞു.

അരി. 8: പാറ്റേൺ ലോക്ക്

അരി. 9: പാറ്റേൺ ലോക്ക്

ക്ഷുദ്രകരമായ ഫയൽ തടഞ്ഞപ്പോൾ, ആക്രമണകാരി എക്സിക്യൂട്ടബിൾ ഫയലിന്റെ എൻക്രിപ്റ്റ് ചെയ്ത പതിപ്പ് ഡൗൺലോഡ് ചെയ്യാൻ ശ്രമിച്ചു, അത് തടഞ്ഞു.

അരി. 10: ആക്രമണകാരി ഓടാൻ ശ്രമിച്ച സാമ്പിളുകളുടെ ഒരു കൂട്ടം

അവസാനം, എൻക്രിപ്റ്റ് ചെയ്ത കൺസോൾ വഴി മറ്റൊരു ക്ഷുദ്ര ഫയൽ ഡൗൺലോഡ് ചെയ്യാൻ അദ്ദേഹം ശ്രമിച്ചു
ആന്റിവൈറസ് പരിരക്ഷയെ മറികടക്കാൻ PowerShell. എന്നാൽ അദ്ദേഹത്തെയും തടഞ്ഞു.

അരി. 11: ക്ഷുദ്രകരമായ ഉള്ളടക്കമുള്ള PowerShell തടഞ്ഞു


അരി. 12: ക്ഷുദ്രകരമായ ഉള്ളടക്കമുള്ള PowerShell തടഞ്ഞു

4. ലോഡർ

ഇത് എക്സിക്യൂട്ട് ചെയ്യുമ്പോൾ, അത് ഫോൾഡറിലേക്ക് ഒരു ReadMe ഫയൽ എഴുതുന്നു % താൽക്കാലിക%, ഇത് Ryuk ന് സാധാരണമാണ്. പ്രോട്ടോൺമെയിൽ ഡൊമെയ്‌നിലെ ഒരു ഇമെയിൽ വിലാസം അടങ്ങുന്ന ഒരു മോചനദ്രവ്യ കുറിപ്പാണ് ഈ ഫയൽ, ഈ ക്ഷുദ്രവെയർ കുടുംബത്തിൽ ഇത് വളരെ സാധാരണമാണ്: [ഇമെയിൽ പരിരക്ഷിച്ചിരിക്കുന്നു]

അരി. 13: മോചനദ്രവ്യ ആവശ്യം

ബൂട്ട്ലോഡർ പ്രവർത്തിക്കുമ്പോൾ, ക്രമരഹിതമായ പേരുകളുള്ള നിരവധി എക്സിക്യൂട്ടബിൾ ഫയലുകൾ ലോഞ്ച് ചെയ്യുന്നത് നിങ്ങൾക്ക് കാണാൻ കഴിയും. അവ ഒരു മറഞ്ഞിരിക്കുന്ന ഫോൾഡറിൽ സംഭരിച്ചിരിക്കുന്നു പബ്ലിക്, എന്നാൽ ഓപ്പറേറ്റിംഗ് സിസ്റ്റത്തിൽ ഓപ്ഷൻ സജീവമല്ലെങ്കിൽ "മറഞ്ഞിരിക്കുന്ന ഫയലുകളും ഫോൾഡറുകളും കാണിക്കുക", അപ്പോൾ അവർ മറഞ്ഞിരിക്കും. മാത്രമല്ല, ഈ ഫയലുകൾ 64-ബിറ്റ് ആണ്, പാരന്റ് ഫയലിൽ നിന്ന് വ്യത്യസ്തമായി, അത് 32-ബിറ്റ് ആണ്.

അരി. 14: സാമ്പിൾ സമാരംഭിച്ച എക്സിക്യൂട്ടബിൾ ഫയലുകൾ

മുകളിലുള്ള ചിത്രത്തിൽ നിങ്ങൾക്ക് കാണാനാകുന്നതുപോലെ, Ryuk icacls.exe സമാരംഭിക്കുന്നു, ഇത് എല്ലാ ACL-കളും (ആക്സസ് കൺട്രോൾ ലിസ്റ്റുകൾ) പരിഷ്കരിക്കാൻ ഉപയോഗിക്കും, അങ്ങനെ ഫ്ലാഗുകളുടെ പ്രവേശനവും പരിഷ്ക്കരണവും ഉറപ്പാക്കുന്നു.

പിശകുകൾ (/C) പരിഗണിക്കാതെയും സന്ദേശങ്ങളൊന്നും കാണിക്കാതെയും (/Q) ഉപകരണത്തിലെ എല്ലാ ഫയലുകളിലേക്കും (/T) എല്ലാ ഉപയോക്താക്കൾക്കും കീഴിൽ ഇതിന് പൂർണ്ണ ആക്സസ് ലഭിക്കുന്നു.

അരി. 15: സാമ്പിൾ സമാരംഭിച്ച icacls.exe-ന്റെ എക്സിക്യൂഷൻ പാരാമീറ്ററുകൾ

നിങ്ങൾ പ്രവർത്തിപ്പിക്കുന്ന വിൻഡോസിന്റെ ഏത് പതിപ്പാണ് Ryuk പരിശോധിക്കുന്നത് എന്നത് ശ്രദ്ധിക്കേണ്ടതാണ്. ഇതിനായി അദ്ദേഹം
ഉപയോഗിച്ച് ഒരു പതിപ്പ് പരിശോധന നടത്തുന്നു GetVersionExW, അതിൽ പതാകയുടെ മൂല്യം പരിശോധിക്കുന്നു lpVersionInformationവിൻഡോസിന്റെ നിലവിലെ പതിപ്പ് പുതിയതാണോ എന്ന് സൂചിപ്പിക്കുന്നു വിൻഡോസ് എക്സ്പി.

നിങ്ങൾ വിൻഡോസ് എക്സ്പിക്ക് ശേഷമുള്ള പതിപ്പാണോ പ്രവർത്തിപ്പിക്കുന്നത് എന്നതിനെ ആശ്രയിച്ച്, ബൂട്ട് ലോഡർ ലോക്കൽ യൂസർ ഫോൾഡറിലേക്ക് എഴുതും - ഈ സാഹചര്യത്തിൽ ഫോൾഡറിലേക്ക് %പൊതു%.

അരി. 17: ഓപ്പറേറ്റിംഗ് സിസ്റ്റം പതിപ്പ് പരിശോധിക്കുന്നു

എഴുതിക്കൊണ്ടിരിക്കുന്ന ഫയൽ Ryuk ആണ്. പിന്നീട് അത് പ്രവർത്തിപ്പിക്കുന്നു, സ്വന്തം വിലാസം ഒരു പാരാമീറ്ററായി കൈമാറുന്നു.

അരി. 18: ShellExecute വഴി Ryuk എക്സിക്യൂട്ട് ചെയ്യുക

ഇൻപുട്ട് പാരാമീറ്ററുകൾ സ്വീകരിക്കുക എന്നതാണ് Ryuk ആദ്യം ചെയ്യുന്നത്. ഈ സമയം രണ്ട് ഇൻപുട്ട് പാരാമീറ്ററുകൾ ഉണ്ട് (എക്സിക്യൂട്ടബിൾ തന്നെയും ഡ്രോപ്പർ വിലാസവും) അവ സ്വന്തം ട്രെയ്സ് നീക്കം ചെയ്യാൻ ഉപയോഗിക്കുന്നു.

അരി. 19: ഒരു പ്രക്രിയ സൃഷ്ടിക്കുന്നു

ഒരിക്കൽ അതിന്റെ എക്സിക്യൂട്ടബിളുകൾ പ്രവർത്തിപ്പിച്ചുകഴിഞ്ഞാൽ, അത് സ്വയം ഇല്ലാതാക്കുന്നു, അങ്ങനെ അത് എക്സിക്യൂട്ട് ചെയ്ത ഫോൾഡറിൽ സ്വന്തം സാന്നിധ്യത്തിന്റെ ഒരു സൂചനയും അവശേഷിപ്പിക്കാതെ പോകുന്നതും നിങ്ങൾക്ക് കാണാൻ കഴിയും.

അരി. 20: ഒരു ഫയൽ ഇല്ലാതാക്കുന്നു

5. RYUK

5.1 സാന്നിധ്യം
Ryuk, മറ്റ് ക്ഷുദ്രവെയറുകൾ പോലെ, കഴിയുന്നിടത്തോളം സിസ്റ്റത്തിൽ തുടരാൻ ശ്രമിക്കുന്നു. മുകളിൽ കാണിച്ചിരിക്കുന്നതുപോലെ, ഈ ലക്ഷ്യം നേടുന്നതിനുള്ള ഒരു മാർഗ്ഗം രഹസ്യമായി എക്സിക്യൂട്ടബിൾ ഫയലുകൾ സൃഷ്ടിക്കുകയും പ്രവർത്തിപ്പിക്കുകയും ചെയ്യുക എന്നതാണ്. ഇത് ചെയ്യുന്നതിന്, രജിസ്ട്രി കീ മാറ്റുക എന്നതാണ് ഏറ്റവും സാധാരണമായ രീതി കറന്റ് പതിപ്പ് റൺ.
ഈ സാഹചര്യത്തിൽ, ഈ ആവശ്യത്തിനായി ആദ്യം സമാരംഭിച്ച ഫയൽ നിങ്ങൾക്ക് കാണാൻ കഴിയും VWjRF.exe
(ഫയലിന്റെ പേര് ക്രമരഹിതമായി സൃഷ്ടിച്ചതാണ്) സമാരംഭിക്കുന്നു cmd.exe.

അരി. 21: VWjRF.exe എക്സിക്യൂട്ട് ചെയ്യുന്നു

തുടർന്ന് കമാൻഡ് നൽകുക RUN പേരിനൊപ്പം "svchos". അതിനാൽ, നിങ്ങൾക്ക് എപ്പോൾ വേണമെങ്കിലും രജിസ്ട്രി കീകൾ പരിശോധിക്കണമെങ്കിൽ, ഈ പേര് svchost എന്നതുമായുള്ള സാമ്യം കണക്കിലെടുത്ത് നിങ്ങൾക്ക് ഈ മാറ്റം എളുപ്പത്തിൽ നഷ്‌ടപ്പെടുത്താം. ഈ കീക്ക് നന്ദി, സിസ്റ്റത്തിൽ Ryuk അതിന്റെ സാന്നിധ്യം ഉറപ്പാക്കുന്നു. സിസ്റ്റം ഇല്ലെങ്കിൽ എന്നിട്ടും രോഗം ബാധിച്ചിട്ടില്ല, നിങ്ങൾ സിസ്റ്റം റീബൂട്ട് ചെയ്യുമ്പോൾ, എക്സിക്യൂട്ടബിൾ വീണ്ടും ശ്രമിക്കും.

അരി. 22: സാമ്പിൾ രജിസ്ട്രി കീയിൽ സാന്നിധ്യം ഉറപ്പാക്കുന്നു

ഈ എക്സിക്യൂട്ടബിൾ രണ്ട് സേവനങ്ങൾ നിർത്തുന്നതും നമുക്ക് കാണാൻ കഴിയും:
"ഓഡിയോഎൻഡ് പോയിന്റ് ബിൽഡർ", അതിന്റെ പേര് സൂചിപ്പിക്കുന്നത് പോലെ, സിസ്റ്റം ഓഡിയോയുമായി യോജിക്കുന്നു,

അരി. 23: സാമ്പിൾ സിസ്റ്റം ഓഡിയോ സേവനം നിർത്തുന്നു

и സാംസ്, ഇത് ഒരു അക്കൗണ്ട് മാനേജ്മെന്റ് സേവനമാണ്. ഈ രണ്ടു സർവീസുകളും നിർത്തുക എന്നത് റ്യൂക്കിന്റെ സവിശേഷതയാണ്. ഈ സാഹചര്യത്തിൽ, സിസ്റ്റം ഒരു SIEM സിസ്റ്റവുമായി ബന്ധിപ്പിച്ചിട്ടുണ്ടെങ്കിൽ, ransomware അയയ്ക്കുന്നത് നിർത്താൻ ശ്രമിക്കുന്നു. സീം ഏതെങ്കിലും മുന്നറിയിപ്പുകൾ. ഈ രീതിയിൽ, Ryuk നിർവ്വഹിച്ചതിന് ശേഷം ചില SAM സേവനങ്ങൾക്ക് അവയുടെ പ്രവർത്തനം ശരിയായി ആരംഭിക്കാൻ സാധിക്കാത്തതിനാൽ അവൻ തന്റെ അടുത്ത ഘട്ടങ്ങൾ സംരക്ഷിക്കുന്നു.

അരി. 24: സാമ്പിൾ സാംസ് സേവനം നിർത്തുന്നു

5.2 പ്രത്യേകാവകാശങ്ങൾ

പൊതുവായി പറഞ്ഞാൽ, Ryuk ആരംഭിക്കുന്നത് നെറ്റ്‌വർക്കിനുള്ളിൽ ലാറ്ററലായി ചലിച്ചുകൊണ്ടോ അല്ലെങ്കിൽ മറ്റൊരു ക്ഷുദ്രവെയർ മുഖേനയാണ് ഇത് സമാരംഭിക്കുന്നത് Emotet അഥവാ ട്രിക്ക്ബോട്ട്, അത്, പ്രത്യേകാവകാശം വർദ്ധിക്കുന്ന സാഹചര്യത്തിൽ, ഈ ഉയർന്ന അവകാശങ്ങൾ ransomware-ലേക്ക് കൈമാറുന്നു.

അതിനുമുമ്പ്, നടപ്പാക്കൽ പ്രക്രിയയുടെ ഒരു മുന്നൊരുക്കമെന്ന നിലയിൽ, അദ്ദേഹം ആ പ്രക്രിയ നടപ്പിലാക്കുന്നത് ഞങ്ങൾ കാണുന്നു സ്വയം ആൾമാറാട്ടം, അതായത് ആക്സസ് ടോക്കണിന്റെ സുരക്ഷാ ഉള്ളടക്കങ്ങൾ സ്ട്രീമിലേക്ക് കൈമാറും, അവിടെ അത് ഉപയോഗിച്ച് ഉടനടി വീണ്ടെടുക്കും GetCurrentThread.

അരി. 25: ImpersonateSelf എന്ന് വിളിക്കുക

അത് ഒരു ആക്‌സസ് ടോക്കണിനെ ഒരു ത്രെഡുമായി ബന്ധപ്പെടുത്തുമെന്ന് ഞങ്ങൾ കാണുന്നു. പതാകകളിൽ ഒന്നാണെന്നും നാം കാണുന്നു ആവശ്യമുള്ള ആക്സസ്, ത്രെഡിന് ഉണ്ടായിരിക്കുന്ന ആക്‌സസ് നിയന്ത്രിക്കാൻ ഇത് ഉപയോഗിക്കാം. ഈ സാഹചര്യത്തിൽ edx-ന് ലഭിക്കുന്ന മൂല്യം ഇതായിരിക്കണം TOKEN_ALL_ACESS അല്ലെങ്കിൽ - TOKEN_WRITE.

അരി. 26: ഒരു ഫ്ലോ ടോക്കൺ സൃഷ്ടിക്കുന്നു

അപ്പോൾ അവൻ ഉപയോഗിക്കും SeDebugPrivilege കൂടാതെ ത്രെഡിൽ ഡീബഗ് അനുമതികൾ നേടുന്നതിന് ഒരു കോൾ ചെയ്യും, അത് ഫലത്തിൽ PROCESS_ALL_ACCESS, അവന് ആവശ്യമായ ഏത് പ്രക്രിയയും ആക്സസ് ചെയ്യാൻ കഴിയും. ഇപ്പോൾ, എൻക്രിപ്റ്ററിന് ഇതിനകം തയ്യാറാക്കിയ സ്ട്രീം ഉള്ളതിനാൽ, അവസാന ഘട്ടത്തിലേക്ക് പോകുക മാത്രമാണ് അവശേഷിക്കുന്നത്.

അരി. 27: SeDebugPrivilege, Privilage Escalation Function എന്നിവ വിളിക്കുന്നു

ഒരു വശത്ത്, ഞങ്ങൾക്ക് LookupPrivilegeValueW ഉണ്ട്, അത് ഞങ്ങൾ വർദ്ധിപ്പിക്കാൻ ആഗ്രഹിക്കുന്ന പ്രത്യേകാവകാശങ്ങളെക്കുറിച്ച് ആവശ്യമായ വിവരങ്ങൾ നൽകുന്നു.

അരി. 28: പ്രിവിലേജ് വർദ്ധിപ്പിക്കുന്നതിനുള്ള പ്രത്യേകാവകാശങ്ങളെക്കുറിച്ചുള്ള വിവരങ്ങൾ അഭ്യർത്ഥിക്കുക

മറുവശത്ത്, നമുക്കുണ്ട് ടോക്കൺ പ്രിവിലേജുകൾ ക്രമീകരിക്കുക, ഇത് ഞങ്ങളുടെ സ്ട്രീമിന് ആവശ്യമായ അവകാശങ്ങൾ നേടാൻ ഞങ്ങളെ അനുവദിക്കുന്നു. ഈ സാഹചര്യത്തിൽ, ഏറ്റവും പ്രധാനപ്പെട്ട കാര്യം ന്യൂസ്റ്റേറ്റ്, ആരുടെ പതാക പ്രത്യേകാവകാശങ്ങൾ നൽകും.

അരി. 29: ഒരു ടോക്കണിനുള്ള അനുമതികൾ സജ്ജീകരിക്കുന്നു

5.3 നടപ്പിലാക്കൽ

ഈ റിപ്പോർട്ടിൽ മുമ്പ് സൂചിപ്പിച്ച നടപ്പാക്കൽ പ്രക്രിയ സാമ്പിൾ എങ്ങനെ നിർവഹിക്കുന്നുവെന്ന് ഈ വിഭാഗത്തിൽ ഞങ്ങൾ കാണിക്കും.

നടപ്പാക്കൽ പ്രക്രിയയുടെ പ്രധാന ലക്ഷ്യം, അതുപോലെ തന്നെ വർദ്ധനവ്, ആക്സസ് നേടുക എന്നതാണ് നിഴൽ പകർപ്പുകൾ. ഇത് ചെയ്യുന്നതിന്, പ്രാദേശിക ഉപയോക്താവിനേക്കാൾ ഉയർന്ന അവകാശങ്ങളുള്ള ഒരു ത്രെഡുമായി അയാൾ പ്രവർത്തിക്കേണ്ടതുണ്ട്. അത്തരം ഉയർന്ന അവകാശങ്ങൾ നേടിയാൽ, അത് പകർപ്പുകൾ ഇല്ലാതാക്കുകയും ഓപ്പറേറ്റിംഗ് സിസ്റ്റത്തിൽ മുമ്പത്തെ പുനഃസ്ഥാപിക്കൽ പോയിന്റിലേക്ക് മടങ്ങുന്നത് അസാധ്യമാക്കുന്നതിന് മറ്റ് പ്രക്രിയകളിൽ മാറ്റങ്ങൾ വരുത്തുകയും ചെയ്യും.

ഇത്തരത്തിലുള്ള ക്ഷുദ്രവെയറിന്റെ സാധാരണ പോലെ, ഇത് ഉപയോഗിക്കുന്നു CreateToolHelp32Snapshotഅതിനാൽ ഇത് നിലവിൽ പ്രവർത്തിക്കുന്ന പ്രക്രിയകളുടെ ഒരു സ്നാപ്പ്ഷോട്ട് എടുത്ത് ആ പ്രക്രിയകൾ ഉപയോഗിച്ച് ആക്സസ് ചെയ്യാൻ ശ്രമിക്കുന്നു ഓപ്പൺപ്രോസസ്. പ്രോസസ്സിലേക്ക് ആക്‌സസ് ലഭിച്ചുകഴിഞ്ഞാൽ, പ്രോസസ്സ് പാരാമീറ്ററുകൾ ലഭിക്കുന്നതിന് അതിന്റെ വിവരങ്ങളുള്ള ഒരു ടോക്കണും ഇത് തുറക്കുന്നു.

അരി. 30: ഒരു കമ്പ്യൂട്ടറിൽ നിന്ന് പ്രക്രിയകൾ വീണ്ടെടുക്കുന്നു

CreateToolhelp140002Snapshot ഉപയോഗിച്ച് സാധാരണ 9D32C-ൽ പ്രവർത്തിക്കുന്ന പ്രക്രിയകളുടെ ലിസ്റ്റ് എങ്ങനെയാണ് ലഭിക്കുന്നതെന്ന് നമുക്ക് ചലനാത്മകമായി കാണാൻ കഴിയും. അവ ലഭിച്ചതിനുശേഷം, അവൻ ലിസ്റ്റിലൂടെ കടന്നുപോകുന്നു, വിജയിക്കുന്നതുവരെ ഓപ്പൺപ്രോസസ് ഉപയോഗിച്ച് പ്രോസസ്സുകൾ ഓരോന്നായി തുറക്കാൻ ശ്രമിക്കുന്നു. ഈ സാഹചര്യത്തിൽ, അവൻ തുറക്കാൻ കഴിഞ്ഞ ആദ്യ പ്രക്രിയ ആയിരുന്നു "taskhost.exe".

അരി. 31: ഒരു പ്രോസസ്സ് ലഭിക്കുന്നതിന് ചലനാത്മകമായി ഒരു നടപടിക്രമം നടപ്പിലാക്കുക

ഇത് പിന്നീട് പ്രോസസ്സ് ടോക്കൺ വിവരങ്ങൾ വായിക്കുന്നതായി നമുക്ക് കാണാൻ കഴിയും, അതിനാൽ അത് വിളിക്കുന്നു OpenProcessToken പാരാമീറ്റർ ഉപയോഗിച്ച് "20008"

അരി. 32: പ്രോസസ്സ് ടോക്കൺ വിവരങ്ങൾ വായിക്കുക

അത് കുത്തിവയ്ക്കപ്പെടുന്ന പ്രക്രിയയല്ലെന്നും ഇത് പരിശോധിക്കുന്നു csrss.exe, explorer.exe, lsaas.exe അല്ലെങ്കിൽ അയാൾക്ക് ഒരു കൂട്ടം അവകാശങ്ങളുണ്ട് NT അതോറിറ്റി.

അരി. 33: ഒഴിവാക്കിയ പ്രക്രിയകൾ

പ്രോസസ് ടോക്കൺ വിവരങ്ങൾ ഉപയോഗിച്ച് ഇത് ആദ്യം എങ്ങനെ പരിശോധന നടത്തുന്നുവെന്ന് നമുക്ക് ചലനാത്മകമായി കാണാൻ കഴിയും 140002D9C ഒരു പ്രോസസ്സ് എക്സിക്യൂട്ട് ചെയ്യാൻ അവകാശങ്ങൾ ഉപയോഗിക്കുന്ന അക്കൗണ്ട് ഒരു അക്കൗണ്ടാണോ എന്ന് കണ്ടെത്തുന്നതിന് NT അതോറിറ്റി.

അരി. 34: NT അതോറിറ്റി പരിശോധന

പിന്നീട്, നടപടിക്രമത്തിന് പുറത്ത്, ഇത് അങ്ങനെയല്ലെന്ന് അദ്ദേഹം പരിശോധിക്കുന്നു csrss.exe, explorer.exe അഥവാ lsaas.exe.

അരി. 35: NT അതോറിറ്റി പരിശോധന

പ്രക്രിയകളുടെ ഒരു സ്നാപ്പ്ഷോട്ട് എടുത്ത്, പ്രോസസ്സുകൾ തുറന്ന്, അവയൊന്നും ഒഴിവാക്കിയിട്ടില്ലെന്ന് പരിശോധിച്ചുറപ്പിച്ച ശേഷം, കുത്തിവയ്ക്കപ്പെടുന്ന പ്രക്രിയകൾ ഓർമ്മയിൽ എഴുതാൻ അദ്ദേഹം തയ്യാറാണ്.

ഇത് ചെയ്യുന്നതിന്, ഇത് ആദ്യം മെമ്മറിയിൽ ഒരു ഏരിയ റിസർവ് ചെയ്യുന്നു (VirtualAllocEx), അതിൽ എഴുതുന്നു (റൈറ്റ്പ്രോസസ്മെമ്മറി) കൂടാതെ ഒരു ത്രെഡ് സൃഷ്ടിക്കുന്നു (റിമോട്ട് ത്രെഡ് സൃഷ്‌ടിക്കുക). ഈ ഫംഗ്‌ഷനുകൾക്കൊപ്പം പ്രവർത്തിക്കാൻ, തിരഞ്ഞെടുത്ത പ്രോസസ്സുകളുടെ PID-കൾ ഇത് ഉപയോഗിക്കുന്നു, അത് മുമ്പ് ഉപയോഗിച്ചു CreateToolhelp32Snapshot.

അരി. 36: കോഡ് ഉൾച്ചേർക്കുക

ഫംഗ്‌ഷനെ വിളിക്കാൻ PID പ്രോസസ്സ് ഉപയോഗിക്കുന്നതെങ്ങനെയെന്ന് ഇവിടെ നമുക്ക് ചലനാത്മകമായി നിരീക്ഷിക്കാൻ കഴിയും VirtualAllocEx.

അരി. 37: VirtualAllocEx-നെ വിളിക്കുക

5.4 എൻക്രിപ്ഷൻ
ഈ വിഭാഗത്തിൽ, ഈ സാമ്പിളിന്റെ എൻക്രിപ്ഷൻ ഭാഗം ഞങ്ങൾ നോക്കും. ഇനിപ്പറയുന്ന ചിത്രത്തിൽ നിങ്ങൾക്ക് "" എന്ന് വിളിക്കുന്ന രണ്ട് സബ്റൂട്ടീനുകൾ കാണാംLoadLibrary_EncodeString" ഒപ്പം "എൻകോഡ്_ഫങ്ക്", എൻക്രിപ്ഷൻ നടപടിക്രമം നിർവഹിക്കുന്നതിന് ഉത്തരവാദികളാണ്.

അരി. 38: എൻക്രിപ്ഷൻ നടപടിക്രമങ്ങൾ

തുടക്കത്തിൽ, അത് എങ്ങനെ ഒരു സ്ട്രിംഗ് ലോഡുചെയ്യുന്നുവെന്ന് നമുക്ക് കാണാൻ കഴിയും, അത് പിന്നീട് ആവശ്യമുള്ളതെല്ലാം ഡിഒബ്ഫസ്‌കേറ്റ് ചെയ്യാൻ ഉപയോഗിക്കും: ഇറക്കുമതികൾ, DLL-കൾ, കമാൻഡുകൾ, ഫയലുകൾ, CSP-കൾ.

അരി. 39: Deobfuscation സർക്യൂട്ട്

രജിസ്‌റ്റർ R4-ൽ ഡിയോബ്‌ഫസ്‌കേറ്റ് ചെയ്‌ത ആദ്യത്തെ ഇറക്കുമതി ഇനിപ്പറയുന്ന ചിത്രം കാണിക്കുന്നു. ലോഡ് ലൈബ്രറി. ആവശ്യമായ DLL-കൾ ലോഡ് ചെയ്യാൻ ഇത് പിന്നീട് ഉപയോഗിക്കും. ഡിയോബ്ഫസ്‌ക്കേഷൻ നടത്താൻ മുമ്പത്തെ വരിയ്‌ക്കൊപ്പം ഉപയോഗിക്കുന്ന മറ്റൊരു വരി രജിസ്‌റ്റർ R12-ലും നമുക്ക് കാണാൻ കഴിയും.

അരി. 40: ഡൈനാമിക് ഡിയോബ്ഫസ്ക്കേഷൻ

ബാക്കപ്പുകൾ അപ്രാപ്‌തമാക്കുന്നതിനും പോയിന്റുകൾ പുനഃസ്ഥാപിക്കുന്നതിനും സുരക്ഷിത ബൂട്ട് മോഡുകൾക്കും ഇത് പിന്നീട് പ്രവർത്തിപ്പിക്കുന്ന കമാൻഡുകൾ ഡൗൺലോഡ് ചെയ്യുന്നത് തുടരുന്നു.

അരി. 41: കമാൻഡുകൾ ലോഡുചെയ്യുന്നു

തുടർന്ന് അത് 3 ഫയലുകൾ ഡ്രോപ്പ് ചെയ്യുന്ന സ്ഥലം ലോഡ് ചെയ്യുന്നു: Windows.bat, run.sct и ആരംഭിക്കുക.ബാറ്റ്.

അരി. 42: ലൊക്കേഷനുകൾ ഫയൽ ചെയ്യുക

ഓരോ ലൊക്കേഷനും ഉള്ള പ്രത്യേകാവകാശങ്ങൾ പരിശോധിക്കാൻ ഈ 3 ഫയലുകൾ ഉപയോഗിക്കുന്നു. ആവശ്യമായ പ്രത്യേകാവകാശങ്ങൾ ലഭ്യമല്ലെങ്കിൽ, Ryuk വധശിക്ഷ നിർത്തുന്നു.

ഇത് മൂന്ന് ഫയലുകളുമായി ബന്ധപ്പെട്ട വരികൾ ലോഡ് ചെയ്യുന്നത് തുടരുന്നു. ആദ്യം, DECRYPT_INFORMATION.html, ഫയലുകൾ വീണ്ടെടുക്കാൻ ആവശ്യമായ വിവരങ്ങൾ അടങ്ങിയിരിക്കുന്നു. രണ്ടാമത്, പബ്ലിക്, RSA പൊതു കീ അടങ്ങിയിരിക്കുന്നു.

അരി. 43: ലൈൻ ഡീക്രിപ്റ്റ് വിവരം.html

മൂന്നാമത്, UNIQUE_ID_DO_NOT_REMOVE, എൻക്രിപ്ഷൻ ചെയ്യുന്നതിനായി അടുത്ത ദിനചര്യയിൽ ഉപയോഗിക്കുന്ന എൻക്രിപ്റ്റ് ചെയ്ത കീ അടങ്ങിയിരിക്കുന്നു.

അരി. 44: ലൈൻ UNIQUE ID നീക്കം ചെയ്യരുത്

അവസാനമായി, ആവശ്യമായ ഇറക്കുമതികളും CSP-കളും സഹിതം ആവശ്യമായ ലൈബ്രറികൾ ഡൗൺലോഡ് ചെയ്യുന്നു (മൈക്രോസോഫ്റ്റ് മെച്ചപ്പെടുത്തിയ RSA и AES ക്രിപ്‌റ്റോഗ്രാഫിക് ദാതാവ്).

അരി. 45: ലൈബ്രറികൾ ലോഡ് ചെയ്യുന്നു

എല്ലാ deobfuscation പൂർത്തിയാക്കിയ ശേഷം, എൻക്രിപ്ഷൻ ആവശ്യമായ പ്രവർത്തനങ്ങൾ അത് തുടരുന്നു: എല്ലാ ലോജിക്കൽ ഡ്രൈവുകളും എണ്ണുന്നത്, മുൻ ദിനചര്യയിൽ ലോഡ് ചെയ്തവ എക്സിക്യൂട്ട് ചെയ്യുക, സിസ്റ്റത്തിലെ സാന്നിധ്യം ശക്തിപ്പെടുത്തുക, RyukReadMe.html ഫയൽ എറിയുക, എൻക്രിപ്ഷൻ, എല്ലാ നെറ്റ്‌വർക്ക് ഡ്രൈവുകളും എണ്ണുക. , കണ്ടെത്തിയ ഉപകരണങ്ങളിലേക്കുള്ള പരിവർത്തനവും അവയുടെ എൻക്രിപ്ഷനും.
ലോഡിംഗിൽ നിന്നാണ് എല്ലാം ആരംഭിക്കുന്നത്"cmd.exe"ഉം RSA പൊതു കീ റെക്കോർഡുകളും.

അരി. 46: എൻക്രിപ്ഷനായി തയ്യാറെടുക്കുന്നു

അപ്പോൾ അത് ഉപയോഗിക്കുന്ന എല്ലാ ലോജിക്കൽ ഡ്രൈവുകളും ലഭിക്കുന്നു GetLogicalDrives കൂടാതെ എല്ലാ ബാക്കപ്പുകളും, പുനഃസ്ഥാപിക്കുന്ന പോയിന്റുകളും സുരക്ഷിത ബൂട്ട് മോഡുകളും പ്രവർത്തനരഹിതമാക്കുന്നു.

അരി. 47: വീണ്ടെടുക്കൽ ഉപകരണങ്ങൾ നിർജ്ജീവമാക്കുന്നു

അതിനുശേഷം, ഞങ്ങൾ മുകളിൽ കണ്ടതുപോലെ, സിസ്റ്റത്തിൽ അതിന്റെ സാന്നിധ്യം ശക്തിപ്പെടുത്തുകയും ആദ്യ ഫയൽ എഴുതുകയും ചെയ്യുന്നു RyukReadMe.html в TEMP.

അരി. 48: ഒരു മോചനദ്രവ്യ നോട്ടീസ് പ്രസിദ്ധീകരിക്കുന്നു

ഇനിപ്പറയുന്ന ചിത്രത്തിൽ അത് എങ്ങനെ ഒരു ഫയൽ സൃഷ്‌ടിക്കുന്നുവെന്നും ഉള്ളടക്കം ഡൗൺലോഡ് ചെയ്യുകയും അത് എഴുതുകയും ചെയ്യുന്നത് എങ്ങനെയെന്ന് നിങ്ങൾക്ക് കാണാൻ കഴിയും:

അരി. 49: ഫയൽ ഉള്ളടക്കങ്ങൾ ലോഡുചെയ്യുകയും എഴുതുകയും ചെയ്യുന്നു

എല്ലാ ഉപകരണങ്ങളിലും ഒരേ പ്രവർത്തനങ്ങൾ നടത്താൻ, അവൻ ഉപയോഗിക്കുന്നു
"icacls.exe", ഞങ്ങൾ മുകളിൽ കാണിച്ചതുപോലെ.

അരി. 50: icalcls.exe ഉപയോഗിക്കുന്നു

അവസാനമായി, ഇത് "*.exe", "*.dll" ഫയലുകൾ, സിസ്റ്റം ഫയലുകൾ, എൻക്രിപ്റ്റ് ചെയ്ത വൈറ്റ് ലിസ്റ്റിന്റെ രൂപത്തിൽ വ്യക്തമാക്കിയ മറ്റ് ലൊക്കേഷനുകൾ എന്നിവ ഒഴികെയുള്ള ഫയലുകൾ എൻക്രിപ്റ്റ് ചെയ്യാൻ തുടങ്ങുന്നു. ഇത് ചെയ്യുന്നതിന്, ഇത് ഇറക്കുമതി ഉപയോഗിക്കുന്നു: CryptAcquireContextW (എഇഎസ്, ആർഎസ്എ എന്നിവയുടെ ഉപയോഗം വ്യക്തമാക്കിയിരിക്കുന്നിടത്ത്) CryptDeriveKey, CryptGenKey, CryptDestroyKey തുടങ്ങിയവ. WNetEnumResourceW ഉപയോഗിച്ച് കണ്ടെത്തിയ നെറ്റ്‌വർക്ക് ഉപകരണങ്ങളിലേക്ക് അതിന്റെ വ്യാപനം വ്യാപിപ്പിക്കാനും തുടർന്ന് അവയെ എൻക്രിപ്റ്റ് ചെയ്യാനും ഇത് ശ്രമിക്കുന്നു.

അരി. 51: സിസ്റ്റം ഫയലുകൾ എൻക്രിപ്റ്റ് ചെയ്യുന്നു

6. ഇറക്കുമതിയും അനുബന്ധ പതാകകളും

സാമ്പിൾ ഉപയോഗിക്കുന്ന ഏറ്റവും പ്രസക്തമായ ഇറക്കുമതികളും ഫ്ലാഗുകളും പട്ടികപ്പെടുത്തുന്ന ഒരു പട്ടിക ചുവടെയുണ്ട്:

7. ഐ.ഒ.സി

റെഫറൻസുകൾ

• userPublicrun.sct
• Start MenuProgramsStartupstart.bat AppDataRoamingMicrosoftWindowsStart
• MenuProgramsStartupstart.bat

Ryuk ransomware-നെക്കുറിച്ചുള്ള ഒരു സാങ്കേതിക റിപ്പോർട്ട് ആന്റിവൈറസ് ലബോറട്ടറിയായ PandaLabs-ലെ വിദഗ്ധർ സമാഹരിച്ചു.

8. ലിങ്കുകൾ

1. “Everis y Prisa Radio sufren un grave ciberataque que secuestra sus sistemas.”https://www. elconfidencial.com/tecnologia/2019-11-04/everis-la-ser-ciberataque-ransomware-15_2312019/, Publicada el 04/11/2019.

2. “Un virus de origen ruso ataca a importantes empresas españolas.” https: //elpais.com/tecnologia/2019/11/04/actualidad/1572897654_ 251312.html, Publicada el 04/11.

3. “VB2019 പേപ്പർ: ഷിനിഗാമിയുടെ പ്രതികാരം: Ryuk മാൽവെയറിന്റെ നീണ്ട വാൽ.” https://securelist.com/story-of-the-year-2019-cities-under-ransomware-siege/95456/, Publicada el 11 /12/2019

4. “റ്യൂക്കിനൊപ്പം വലിയ ഗെയിം വേട്ട: മറ്റൊരു ലാഭകരമായ, ടാർഗെറ്റഡ് Ransomware.”https://www. crowdstrike.com/blog/big-game-hunting-with-ryuk-another-lucraative-targeted-ransomware/, Publicada el 10/01/2019.

5. “VB2019 പേപ്പർ: ഷിനിഗാമിയുടെ പ്രതികാരം: Ryuk മാൽവെയറിന്റെ നീണ്ട വാൽ.” https://www. virusbulletin.com/virusbulletin/2019/10/ vb2019-paper-shinigamis-revenge-long-tail-r

അവലംബം: www.habr.com