മോചനദ്രവ്യം ഒരു രാജ്ഞിയെപ്പോലെയാണ്: അതിവേഗം പ്രചരിക്കുന്ന "SaveTheQueen" ransomware-നെ കുറിച്ച് വരോണിസ് അന്വേഷിക്കുന്നു

ransomware-ൻ്റെ ഒരു പുതിയ സ്‌ട്രെയിൻ ഫയലുകളെ എൻക്രിപ്റ്റ് ചെയ്യുകയും അവയിലേക്ക് ഒരു ".SaveTheQueen" വിപുലീകരണം ചേർക്കുകയും ചെയ്യുന്നു, ഇത് ആക്റ്റീവ് ഡയറക്‌ടറി ഡൊമെയ്ൻ കൺട്രോളറുകളിലെ SYSVOL നെറ്റ്‌വർക്ക് ഫോൾഡറിലൂടെ വ്യാപിക്കുന്നു.

ഞങ്ങളുടെ ഉപഭോക്താക്കൾ അടുത്തിടെ ഈ ക്ഷുദ്രവെയർ നേരിട്ടു. ഞങ്ങളുടെ മുഴുവൻ വിശകലനവും അതിൻ്റെ ഫലങ്ങളും നിഗമനങ്ങളും ഞങ്ങൾ ചുവടെ അവതരിപ്പിക്കുന്നു.

കണ്ടെത്തൽ

ഞങ്ങളുടെ ഉപഭോക്താക്കളിൽ ഒരാൾ അവരുടെ പരിതസ്ഥിതിയിൽ പുതിയ എൻക്രിപ്റ്റ് ചെയ്ത ഫയലുകളിലേക്ക് ".SaveTheQueen" വിപുലീകരണം ചേർക്കുന്ന ransomware-ൻ്റെ ഒരു പുതിയ തരംഗത്തെ അഭിമുഖീകരിച്ചതിന് ശേഷം ഞങ്ങളെ ബന്ധപ്പെട്ടു.

ഞങ്ങളുടെ അന്വേഷണത്തിനിടയിൽ, അല്ലെങ്കിൽ അണുബാധയുടെ ഉറവിടങ്ങൾ തിരയുന്ന ഘട്ടത്തിൽ, രോഗബാധിതരായ ഇരകളുടെ വിതരണവും ട്രാക്കിംഗും ഉപയോഗിച്ചാണ് നടത്തിയതെന്ന് ഞങ്ങൾ കണ്ടെത്തി നെറ്റ്‌വർക്ക് ഫോൾഡർ SYSVOL ഉപഭോക്താവിൻ്റെ ഡൊമെയ്ൻ കൺട്രോളറിൽ.

ഗ്രൂപ്പ് പോളിസി ഒബ്‌ജക്‌റ്റുകളും (ജിപിഒകൾ) ലോഗൺ, ലോഗ്ഓഫ് സ്‌ക്രിപ്‌റ്റുകളും ഡൊമെയ്‌നിലെ കമ്പ്യൂട്ടറുകളിലേക്ക് എത്തിക്കാൻ ഉപയോഗിക്കുന്ന ഓരോ ഡൊമെയ്ൻ കൺട്രോളറിനുമുള്ള ഒരു പ്രധാന ഫോൾഡറാണ് SYSVOL. ഓർഗനൈസേഷൻ്റെ സൈറ്റുകളിലുടനീളം ഈ ഡാറ്റ സമന്വയിപ്പിക്കുന്നതിന് ഈ ഫോൾഡറിലെ ഉള്ളടക്കങ്ങൾ ഡൊമെയ്ൻ കൺട്രോളറുകൾക്കിടയിൽ പകർത്തുന്നു. SYSVOL-ലേയ്‌ക്ക് എഴുതുന്നതിന് ഉയർന്ന ഡൊമെയ്ൻ പ്രത്യേകാവകാശങ്ങൾ ആവശ്യമാണ്, എന്നിരുന്നാലും, ഒരിക്കൽ വിട്ടുവീഴ്‌ച ചെയ്‌താൽ, ഒരു ഡൊമെയ്‌നിലുടനീളം ക്ഷുദ്രകരമായ പേലോഡുകൾ വേഗത്തിലും കാര്യക്ഷമമായും പ്രചരിപ്പിക്കാൻ ഉപയോഗിക്കുന്ന ആക്രമണകാരികൾക്ക് ഈ അസറ്റ് ശക്തമായ ഒരു ഉപകരണമായി മാറുന്നു.

ഇനിപ്പറയുന്നവ വേഗത്തിൽ തിരിച്ചറിയാൻ വരോണിസ് ഓഡിറ്റ് ശൃംഖല സഹായിച്ചു:

• രോഗബാധിതനായ ഉപയോക്തൃ അക്കൗണ്ട് SYSVOL-ൽ "മണിക്കൂർ" എന്ന പേരിൽ ഒരു ഫയൽ സൃഷ്ടിച്ചു
• SYSVOL-ൽ നിരവധി ലോഗ് ഫയലുകൾ സൃഷ്ടിച്ചിട്ടുണ്ട് - ഓരോന്നിനും ഒരു ഡൊമെയ്ൻ ഉപകരണത്തിൻ്റെ പേര് നൽകിയിരിക്കുന്നു
• നിരവധി വ്യത്യസ്ത IP വിലാസങ്ങൾ "മണിക്കൂറുള്ള" ഫയൽ ആക്‌സസ് ചെയ്യുകയായിരുന്നു

പുതിയ ഉപകരണങ്ങളിലെ അണുബാധ പ്രക്രിയ ട്രാക്കുചെയ്യുന്നതിന് ലോഗ് ഫയലുകൾ ഉപയോഗിച്ചിട്ടുണ്ടെന്നും പവർഷെൽ സ്‌ക്രിപ്റ്റ് ഉപയോഗിച്ച് പുതിയ ഉപകരണങ്ങളിൽ ക്ഷുദ്രകരമായ പേലോഡ് നിർവ്വഹിക്കുന്ന ഷെഡ്യൂൾ ചെയ്‌ത ജോലിയാണ് "മണിക്കൂർ" എന്നും ഞങ്ങൾ നിഗമനം ചെയ്തു - സാമ്പിളുകൾ "v3", "v4".

SYSVOL-ലേക്ക് ഫയലുകൾ എഴുതാൻ ആക്രമണകാരി ഡൊമെയ്ൻ അഡ്മിനിസ്ട്രേറ്റർ പ്രത്യേകാവകാശങ്ങൾ നേടുകയും ഉപയോഗിക്കുകയും ചെയ്തിരിക്കാം. രോഗബാധിതരായ ഹോസ്റ്റുകളിൽ, ആക്രമണകാരി പവർഷെൽ കോഡ് പ്രവർത്തിപ്പിച്ചു, അത് ക്ഷുദ്രവെയർ തുറക്കാനും ഡീക്രിപ്റ്റ് ചെയ്യാനും പ്രവർത്തിപ്പിക്കാനും ഒരു ഷെഡ്യൂൾ ജോലി സൃഷ്ടിച്ചു.

ക്ഷുദ്രവെയർ ഡീക്രിപ്റ്റ് ചെയ്യുന്നു

സാമ്പിളുകൾ മനസ്സിലാക്കാൻ ഞങ്ങൾ പല വഴികളും ശ്രമിച്ചിട്ടും ഫലമുണ്ടായില്ല:

ഗംഭീരമായ "മാജിക്" രീതി പരീക്ഷിക്കാൻ ഞങ്ങൾ തീരുമാനിച്ചപ്പോൾ ഞങ്ങൾ ഉപേക്ഷിക്കാൻ ഏതാണ്ട് തയ്യാറായിരുന്നു
യൂട്ടിലിറ്റികൾ സൈബർ ഷെഫ് GCHQ മുഖേന. വ്യത്യസ്‌ത എൻക്രിപ്‌ഷൻ തരങ്ങൾക്കായുള്ള പാസ്‌വേഡുകൾ ബ്രൂട്ട്-ഫോഴ്‌സ് ചെയ്‌ത് എൻട്രോപ്പി അളക്കുന്നതിലൂടെ ഒരു ഫയലിൻ്റെ എൻക്രിപ്‌ഷൻ ഊഹിക്കാൻ മാജിക് ശ്രമിക്കുന്നു.

വിവർത്തകന്റെ കുറിപ്പ് കാണുകഡിഫറൻഷ്യൽ എൻട്രോപ്പി и വിവര സിദ്ധാന്തത്തിലെ എൻട്രോപ്പി. ഈ ലേഖനത്തിലും അഭിപ്രായങ്ങളിലും മൂന്നാം കക്ഷി അല്ലെങ്കിൽ കുത്തക സോഫ്റ്റ്‌വെയറിൽ ഉപയോഗിക്കുന്ന രീതികളുടെ വിശദാംശങ്ങളുടെ രചയിതാക്കളുടെ ഭാഗത്തെ ചർച്ച ഉൾപ്പെടുന്നില്ല.


ഒരു Base64 എൻകോഡ് ചെയ്ത GZip പാക്കർ ഉപയോഗിച്ചതായി മാജിക് നിർണ്ണയിച്ചു, അതിനാൽ ഞങ്ങൾക്ക് ഫയൽ ഡീകംപ്രസ്സ് ചെയ്യാനും ഇഞ്ചക്ഷൻ കോഡ് കണ്ടെത്താനും കഴിഞ്ഞു.

ഡ്രോപ്പർ: “പ്രദേശത്ത് ഒരു പകർച്ചവ്യാധിയുണ്ട്! പൊതുവായ പ്രതിരോധ കുത്തിവയ്പ്പുകൾ. പാദ, വായ രോഗം"

ഡ്രോപ്പർ യാതൊരു പരിരക്ഷയുമില്ലാത്ത ഒരു സാധാരണ .NET ഫയലായിരുന്നു. ഉപയോഗിച്ച് സോഴ്സ് കോഡ് വായിച്ചതിനുശേഷം DNSpy winlogon.exe പ്രോസസിലേക്ക് ഷെൽകോഡ് കുത്തിവയ്ക്കുക എന്നത് മാത്രമാണ് ഇതിൻ്റെ ഉദ്ദേശമെന്ന് ഞങ്ങൾ മനസ്സിലാക്കി.

ഷെൽകോഡ് അല്ലെങ്കിൽ ലളിതമായ സങ്കീർണതകൾ

ഞങ്ങൾ Hexacorn രചനാ ഉപകരണം ഉപയോഗിച്ചു - shellcode2exe ഡീബഗ്ഗിംഗിനും വിശകലനത്തിനുമായി ഒരു എക്സിക്യൂട്ടബിൾ ഫയലിലേക്ക് ഷെൽകോഡ് "കംപൈൽ" ചെയ്യുന്നതിനായി. ഇത് 32, 64 ബിറ്റ് മെഷീനുകളിൽ പ്രവർത്തിക്കുന്നുവെന്ന് ഞങ്ങൾ കണ്ടെത്തി.

ഒരു നേറ്റീവ് അസംബ്ലി ഭാഷാ വിവർത്തനത്തിൽ ലളിതമായ ഷെൽകോഡ് പോലും എഴുതുന്നത് ബുദ്ധിമുട്ടാണ്, എന്നാൽ രണ്ട് തരത്തിലുള്ള സിസ്റ്റങ്ങളിലും പ്രവർത്തിക്കുന്ന പൂർണ്ണമായ ഷെൽകോഡ് എഴുതുന്നതിന് എലൈറ്റ് കഴിവുകൾ ആവശ്യമാണ്, അതിനാൽ ആക്രമണകാരിയുടെ സങ്കീർണ്ണതയിൽ ഞങ്ങൾ അത്ഭുതപ്പെടാൻ തുടങ്ങി.

ഉപയോഗിച്ച് സമാഹരിച്ച ഷെൽകോഡ് പാഴ്സ് ചെയ്യുമ്പോൾ x64dbg, അവൻ ലോഡ് ചെയ്യുന്നത് ഞങ്ങൾ ശ്രദ്ധിച്ചു .NET ഡൈനാമിക് ലൈബ്രറികൾ clr.dll, mscoreei.dll എന്നിവ പോലുള്ളവ. ഇത് ഞങ്ങൾക്ക് വിചിത്രമായി തോന്നി - സാധാരണയായി ആക്രമണകാരികൾ ഷെൽകോഡ് ലോഡുചെയ്യുന്നതിന് പകരം നേറ്റീവ് OS ഫംഗ്‌ഷനുകളിലേക്ക് വിളിച്ച് കഴിയുന്നത്ര ചെറുതാക്കാൻ ശ്രമിക്കുന്നു. Зачем кому-либо нужно встраивать в шелл-код функционал Windows, вместо прямого вызова по запросу?

മാൽവെയറിൻ്റെ രചയിതാവ് ഈ സങ്കീർണ്ണമായ ഷെൽകോഡ് എഴുതിയിട്ടില്ല - എക്സിക്യൂട്ടബിൾ ഫയലുകളും സ്ക്രിപ്റ്റുകളും ഷെൽകോഡിലേക്ക് വിവർത്തനം ചെയ്യാൻ ഈ ടാസ്ക്കിൻ്റെ പ്രത്യേക സോഫ്റ്റ്വെയർ ഉപയോഗിച്ചു.

ഞങ്ങൾ ഒരു ഉപകരണം കണ്ടെത്തി മിഠായി, സമാനമായ ഒരു ഷെൽകോഡ് സമാഹരിക്കാൻ കഴിയുമെന്ന് ഞങ്ങൾ കരുതി. GitHub-ൽ നിന്നുള്ള അതിൻ്റെ വിവരണം ഇതാ:

Donut генерирует шелл-код x86 или x64 из VBScript, JScript, EXE, DLL (включая сборки .NET). Этот-шелл-код может быть внедрён в любой процесс Windows для выполнения в
റാൻഡം ആക്സസ് മെമ്മറി.

ഞങ്ങളുടെ സിദ്ധാന്തം സ്ഥിരീകരിക്കുന്നതിന്, ഞങ്ങൾ ഡോനട്ട് ഉപയോഗിച്ച് ഞങ്ങളുടെ സ്വന്തം കോഡ് സമാഹരിച്ച് സാമ്പിളുമായി താരതമ്യം ചെയ്തു - കൂടാതെ... അതെ, ഉപയോഗിച്ച ടൂൾകിറ്റിൻ്റെ മറ്റൊരു ഘടകം ഞങ്ങൾ കണ്ടെത്തി. ഇതിനുശേഷം, യഥാർത്ഥ .NET എക്സിക്യൂട്ടബിൾ ഫയൽ എക്‌സ്‌ട്രാക്റ്റുചെയ്യാനും വിശകലനം ചെയ്യാനും ഞങ്ങൾക്ക് ഇതിനകം കഴിഞ്ഞു.

കോഡ് സംരക്ഷണം

ഉപയോഗിച്ച് ഈ ഫയൽ അവ്യക്തമാക്കിയിരിക്കുന്നു കൺഫ്യൂസർഎക്സ്:

മറ്റ് സംഭവവികാസങ്ങളുടെ കോഡ് പരിരക്ഷിക്കുന്നതിനുള്ള ഒരു ഓപ്പൺ സോഴ്‌സ് .NET പ്രോജക്റ്റാണ് ConfuserEx. ക്യാരക്ടർ സബ്സ്റ്റിറ്റ്യൂഷൻ, കൺട്രോൾ കമാൻഡ് ഫ്ലോ മാസ്കിംഗ്, റഫറൻസ് മെത്തേഡ് ഹിഡിംഗ് തുടങ്ങിയ രീതികൾ ഉപയോഗിച്ച് റിവേഴ്സ് എഞ്ചിനീയറിംഗിൽ നിന്ന് അവരുടെ കോഡ് പരിരക്ഷിക്കാൻ ഈ ക്ലാസ് സോഫ്റ്റ്വെയർ ഡവലപ്പർമാരെ അനുവദിക്കുന്നു. മാൽവെയർ രചയിതാക്കൾ കണ്ടെത്തൽ ഒഴിവാക്കാനും റിവേഴ്സ് എഞ്ചിനീയറിംഗ് കൂടുതൽ ബുദ്ധിമുട്ടാക്കാനും ഒബ്ഫസ്‌കേറ്ററുകൾ ഉപയോഗിക്കുന്നു.

നന്ദി ഇലക്ട്രോകിൽ അൺപാക്കർ ഞങ്ങൾ കോഡ് അൺപാക്ക് ചെയ്തു:

ഫലം - പേലോഡ്

തത്ഫലമായുണ്ടാകുന്ന പേലോഡ് വളരെ ലളിതമായ ഒരു ransomware വൈറസാണ്. സിസ്റ്റത്തിൽ സാന്നിദ്ധ്യം ഉറപ്പാക്കാൻ സംവിധാനമില്ല, കമാൻഡ് സെൻ്ററിലേക്കുള്ള കണക്ഷനുകളില്ല - ഇരയുടെ ഡാറ്റ വായിക്കാനാകാത്തതാക്കാനുള്ള പഴയ അസമമായ എൻക്രിപ്ഷൻ മാത്രം.

പ്രധാന പ്രവർത്തനം ഇനിപ്പറയുന്ന വരികൾ പാരാമീറ്ററുകളായി തിരഞ്ഞെടുക്കുന്നു:

• എൻക്രിപ്ഷന് ശേഷം ഉപയോഗിക്കാനുള്ള ഫയൽ എക്സ്റ്റൻഷൻ (SaveTheQueen)
• മോചനദ്രവ്യം ഫയലിൽ സ്ഥാപിക്കാൻ രചയിതാവിൻ്റെ ഇമെയിൽ
• ഫയലുകൾ എൻക്രിപ്റ്റ് ചെയ്യാൻ ഉപയോഗിക്കുന്ന പൊതു കീ

പ്രക്രിയ തന്നെ ഇതുപോലെ കാണപ്പെടുന്നു:

1. ക്ഷുദ്രവെയർ ഇരയുടെ ഉപകരണത്തിലെ ലോക്കൽ, കണക്റ്റഡ് ഡ്രൈവുകൾ പരിശോധിക്കുന്നു

   

2. എൻക്രിപ്റ്റ് ചെയ്യാനുള്ള ഫയലുകൾക്കായി തിരയുന്നു

   

3. എൻക്രിപ്റ്റ് ചെയ്യാൻ പോകുന്ന ഒരു ഫയൽ ഉപയോഗിക്കുന്ന ഒരു പ്രോസസ്സ് അവസാനിപ്പിക്കാൻ ശ്രമിക്കുന്നു
4. MoveFile ഫംഗ്‌ഷൻ ഉപയോഗിച്ച് ഫയലിനെ "OriginalFileName.SaveTheQueenING" എന്ന് പുനർനാമകരണം ചെയ്യുകയും അതിനെ എൻക്രിപ്റ്റ് ചെയ്യുകയും ചെയ്യുന്നു
5. രചയിതാവിൻ്റെ പബ്ലിക് കീ ഉപയോഗിച്ച് ഫയൽ എൻക്രിപ്റ്റ് ചെയ്ത ശേഷം, ക്ഷുദ്രവെയർ അതിനെ വീണ്ടും "ഒറിജിനൽ FileName.SaveTheQueen" എന്ന് പുനർനാമകരണം ചെയ്യുന്നു.
6. മോചനദ്രവ്യം ആവശ്യപ്പെടുന്ന ഒരു ഫയൽ അതേ ഫോൾഡറിലേക്ക് എഴുതിയിരിക്കുന്നു

   

നേറ്റീവ് "CreateDecryptor" ഫംഗ്‌ഷൻ്റെ ഉപയോഗത്തെ അടിസ്ഥാനമാക്കി, ക്ഷുദ്രവെയറിൻ്റെ ഫംഗ്‌ഷനുകളിലൊന്നിൽ ഒരു സ്വകാര്യ കീ ആവശ്യമായ ഒരു ഡീക്രിപ്ഷൻ മെക്കാനിസം ഒരു പാരാമീറ്ററായി അടങ്ങിയിരിക്കുന്നതായി തോന്നുന്നു.

Ransomware വൈറസ് ഫയലുകൾ എൻക്രിപ്റ്റ് ചെയ്യുന്നില്ല, ഡയറക്ടറികളിൽ സംഭരിച്ചിരിക്കുന്നു:

സി: വിൻഡോസ്
സി: പ്രോഗ്രാം ഫയലുകൾ
സി:പ്രോഗ്രാം ഫയലുകൾ (x86)
C:Users\AppData
സി:ഇനെറ്റ്പബ്

അവനും ഇനിപ്പറയുന്ന ഫയൽ തരങ്ങൾ എൻക്രിപ്റ്റ് ചെയ്യുന്നില്ല:EXE, DLL, MSI, ISO, SYS, CAB.

ഫലങ്ങളും നിഗമനങ്ങളും

ransomware-ൽ തന്നെ അസാധാരണമായ സവിശേഷതകളൊന്നും അടങ്ങിയിട്ടില്ലെങ്കിലും, ആക്രമണകാരി ഡ്രോപ്പർ വിതരണം ചെയ്യാൻ ക്രിയാത്മകമായി ആക്റ്റീവ് ഡയറക്‌ടറി ഉപയോഗിച്ചു, കൂടാതെ ക്ഷുദ്രവെയർ തന്നെ ഞങ്ങൾക്ക് രസകരമായ, ആത്യന്തികമായി സങ്കീർണ്ണമല്ലെങ്കിൽ, വിശകലന സമയത്ത് തടസ്സങ്ങൾ അവതരിപ്പിച്ചു.

ക്ഷുദ്രവെയറിൻ്റെ രചയിതാവ് ഇവരാണെന്ന് ഞങ്ങൾ കരുതുന്നു:

1. winlogon.exe പ്രോസസിലേക്ക് ബിൽറ്റ്-ഇൻ ഇഞ്ചക്ഷൻ ഉള്ള ഒരു ransomware വൈറസ് എഴുതി, അതുപോലെ
   ഫയൽ എൻക്രിപ്ഷനും ഡീക്രിപ്ഷൻ പ്രവർത്തനവും
2. ConfuserEx ഉപയോഗിച്ച് ക്ഷുദ്രകരമായ കോഡ് വേഷംമാറി, ഡോനട്ട് ഉപയോഗിച്ച് ഫലം പരിവർത്തനം ചെയ്യുകയും കൂടാതെ base64 Gzip ഡ്രോപ്പർ മറയ്ക്കുകയും ചെയ്തു
3. ഇരയുടെ ഡൊമെയ്‌നിൽ ഉയർന്ന പ്രത്യേകാവകാശങ്ങൾ നേടുകയും അവ പകർത്താൻ ഉപയോഗിക്കുകയും ചെയ്തു
   എൻക്രിപ്റ്റ് ചെയ്ത ക്ഷുദ്രവെയറും ഷെഡ്യൂൾ ചെയ്ത ജോലികളും ഡൊമെയ്ൻ കൺട്രോളറുകളുടെ SYSVOL നെറ്റ്‌വർക്ക് ഫോൾഡറിലേക്ക്
4. ക്ഷുദ്രവെയർ പ്രചരിപ്പിക്കുന്നതിനും SYSVOL-ലെ ലോഗുകളിൽ ആക്രമണ പുരോഗതി രേഖപ്പെടുത്തുന്നതിനും ഡൊമെയ്ൻ ഉപകരണങ്ങളിൽ ഒരു PowerShell സ്ക്രിപ്റ്റ് പ്രവർത്തിപ്പിക്കുക

ransomware വൈറസിൻ്റെ ഈ വകഭേദത്തെക്കുറിച്ചോ ഞങ്ങളുടെ ടീമുകൾ നടത്തുന്ന മറ്റേതെങ്കിലും ഫോറൻസിക്, സൈബർ സുരക്ഷാ സംഭവ അന്വേഷണങ്ങളെക്കുറിച്ചോ നിങ്ങൾക്ക് ചോദ്യങ്ങളുണ്ടെങ്കിൽ, ഞങ്ങളെ സമീപിക്കുക അല്ലെങ്കിൽ അഭ്യർത്ഥിക്കുക ആക്രമണങ്ങളോടുള്ള പ്രതികരണത്തിൻ്റെ തത്സമയ പ്രദർശനം, ഒരു ചോദ്യോത്തര സെഷനിൽ ഞങ്ങൾ എപ്പോഴും ചോദ്യങ്ങൾക്ക് ഉത്തരം നൽകുന്നിടത്ത്.

അവലംബം: www.habr.com