वुल्फरिक रॅन्समवेअर – एक रॅन्समवेअर जे अस्तित्वात नाही

कधीकधी तुम्हाला फक्त काही व्हायरस लेखकाच्या डोळ्यात पहायचे असते आणि विचारायचे असते: का आणि का? आम्ही स्वतः "कसे" या प्रश्नाचे उत्तर देऊ शकतो, परंतु हा किंवा तो मालवेअर निर्माता काय विचार करीत आहे हे शोधणे खूप मनोरंजक असेल. विशेषतः जेव्हा आपण असे “मोती” भेटतो.

आजच्या लेखाचा नायक क्रिप्टोग्राफरचे एक मनोरंजक उदाहरण आहे. हे वरवर पाहता आणखी एक "रॅन्समवेअर" म्हणून कल्पित होते, परंतु त्याची तांत्रिक अंमलबजावणी एखाद्याच्या क्रूर विनोदासारखी दिसते. आज आपण या अंमलबजावणीबद्दल बोलू.

दुर्दैवाने, या एन्कोडरचे जीवन चक्र शोधणे जवळजवळ अशक्य आहे - त्यावर खूप कमी आकडेवारी आहेत, कारण, सुदैवाने, ते व्यापक झाले नाही. म्हणून, आम्ही मूळ, संसर्गाच्या पद्धती आणि इतर संदर्भ सोडू. आमच्या भेटीच्या केसबद्दल बोलूया वुल्फरिक रॅन्समवेअर आणि आम्ही वापरकर्त्याला त्याच्या फाईल्स जतन करण्यात कशी मदत केली.

I. हे सर्व कसे सुरू झाले

जे लोक रॅन्समवेअरला बळी पडले आहेत ते सहसा आमच्या अँटी-व्हायरस प्रयोगशाळेशी संपर्क साधतात. त्यांनी कोणती अँटीव्हायरस उत्पादने स्थापित केली आहेत याची पर्वा न करता आम्ही सहाय्य प्रदान करतो. यावेळी आमच्याशी एका व्यक्तीने संपर्क साधला ज्याच्या फाइल्स अज्ञात एन्कोडरमुळे प्रभावित झाल्या होत्या.

शुभ दुपार फाईल स्टोरेज (samba4) वर पासवर्डरहित लॉगिनसह फायली एनक्रिप्ट केल्या होत्या. मला शंका आहे की संसर्ग माझ्या मुलीच्या संगणकावरून आला आहे (विंडोज 10 मानक विंडोज डिफेंडर संरक्षणासह). त्यानंतर मुलीचा संगणक चालू झाला नाही. फायली मुख्यतः .jpg आणि .cr2 एनक्रिप्ट केलेल्या आहेत. एन्क्रिप्शन नंतर फाइल विस्तार: .aef.

आम्हाला एंक्रिप्ट केलेल्या फायलींचे वापरकर्ता नमुने, खंडणीची नोट आणि फाइल डिक्रिप्ट करण्यासाठी रॅन्समवेअर लेखकाला आवश्यक असलेली एक फाइल प्राप्त झाली आहे.

येथे आमचे सर्व संकेत आहेत:

• 01c.aef (4481K)
• hacked.jpg (254K)
• hacked.txt (0K)
• 04c.aef (6540K)
• pass.key (0K)

चला नोटवर एक नजर टाकूया. यावेळी किती बिटकॉइन्स?

भाषांतरः

लक्ष द्या, तुमच्या फायली एनक्रिप्टेड आहेत!
पासवर्ड तुमच्या PC साठी अद्वितीय आहे.

बिटकॉइन पत्त्यावर 0.05 BTC ची रक्कम भरा: 1ERtRjWAKyG2Edm9nKLLCzd8p1CjjdTiF
पेमेंट केल्यानंतर, मला pass.key फाइल संलग्न करून ईमेल पाठवा [ईमेल संरक्षित] पेमेंटच्या सूचनेसह.

पुष्टीकरणानंतर, मी तुम्हाला फाइल्ससाठी एक डिक्रिप्टर पाठवीन.

तुम्ही बिटकॉइन्ससाठी वेगवेगळ्या प्रकारे ऑनलाइन पैसे देऊ शकता:
buy.blockexplorer.com - बँक कार्डद्वारे पेमेंट
www.buybitcoinworldwide.com
localbitcoins.net

Bitcoins बद्दल:
en.wikipedia.org/wiki/Bitcoin
तुम्हाला काही प्रश्न असल्यास, कृपया मला येथे लिहा [ईमेल संरक्षित]
बोनस म्हणून, मी तुम्हाला सांगेन की तुमचा संगणक कसा हॅक झाला आणि भविष्यात त्याचे संरक्षण कसे करावे.

एक दिखाऊ लांडगा, पीडिताला परिस्थितीचे गांभीर्य दर्शविण्यासाठी डिझाइन केलेले. तथापि, ते आणखी वाईट असू शकते.

तांदूळ. 1. -बोनस म्हणून, मी तुम्हाला भविष्यात तुमच्या संगणकाचे संरक्षण कसे करायचे ते सांगेन. - कायदेशीर वाटते.

II. चला सुरू करुया

सर्व प्रथम, आम्ही पाठविलेल्या नमुन्याची रचना पाहिली. विचित्रपणे, ती ransomware द्वारे खराब झालेल्या फाइलसारखी दिसत नव्हती. हेक्साडेसिमल एडिटर उघडा आणि एक नजर टाका. पहिल्या 4 बाइट्समध्ये मूळ फाइल आकार असतो, पुढील 60 बाइट्स शून्याने भरलेले असतात. पण सर्वात मनोरंजक गोष्ट शेवटी आहे:

तांदूळ. 2 खराब झालेल्या फाइलचे विश्लेषण करा. काय ताबडतोब तुमचा डोळा पकडतो?

सर्व काही त्रासदायकपणे सोपे असल्याचे दिसून आले: शीर्षलेखातील 0x40 बाइट फाइलच्या शेवटी हलविले गेले. डेटा पुनर्संचयित करण्यासाठी, फक्त सुरुवातीस परत करा. फाइलमध्ये प्रवेश पुनर्संचयित केला गेला आहे, परंतु नाव एनक्रिप्टेड राहिले आहे आणि त्यासह गोष्टी अधिक क्लिष्ट होत आहेत.

तांदूळ. 3. Base64 मधील एनक्रिप्ट केलेले नाव वर्णांच्या रॅम्बलिंग संचासारखे दिसते.

चला ते शोधण्याचा प्रयत्न करूया pass.key, वापरकर्त्याने सबमिट केले. त्यात आपल्याला ASCII अक्षरांचा 162-बाइटचा क्रम दिसतो.

तांदूळ. 4. पीडितेच्या PC वर 162 वर्ण शिल्लक आहेत.

तुम्ही बारकाईने पाहिल्यास, तुमच्या लक्षात येईल की चिन्हे एका विशिष्ट वारंवारतेने पुनरावृत्ती होत आहेत. हे XOR चा वापर दर्शवू शकते, जे पुनरावृत्ती द्वारे दर्शविले जाते, ज्याची वारंवारता की लांबीवर अवलंबून असते. स्ट्रिंगला 6 वर्णांमध्ये विभाजित केल्यामुळे आणि XOR क्रमांच्या काही प्रकारांसह XORed करून, आम्हाला कोणताही अर्थपूर्ण परिणाम प्राप्त झाला नाही.

तांदूळ. 5. मध्यभागी पुनरावृत्ती होणारी स्थिरांक पहा?

आम्ही स्थिरांक गुगल करण्याचा निर्णय घेतला, कारण होय, हे देखील शक्य आहे! आणि त्या सर्वांनी शेवटी एका अल्गोरिदमकडे नेले - बॅच एनक्रिप्शन. स्क्रिप्टचा अभ्यास केल्यावर, हे स्पष्ट झाले की आमची ओळ त्याच्या कामाच्या परिणामापेक्षा अधिक काही नाही. हे नमूद केले पाहिजे की हे एन्क्रिप्टर अजिबात नाही, परंतु फक्त एक एन्कोडर आहे जो 6-बाइट अनुक्रमांसह वर्ण बदलतो. तुमच्यासाठी कोणतीही कळा किंवा इतर रहस्ये नाहीत :)

तांदूळ. 6. अज्ञात लेखकत्वाच्या मूळ अल्गोरिदमचा एक भाग.

अल्गोरिदम एका तपशिलासाठी नसल्यास ते कार्य करणार नाही:

तांदूळ. 7. मॉर्फियस मंजूर.

रिव्हर्स प्रतिस्थापन वापरून आम्ही स्ट्रिंगचे रूपांतर करतो pass.key 27 वर्णांच्या मजकुरात. मानवी (बहुधा) मजकूर 'अस्मोडात' विशेष लक्ष देण्यास पात्र आहे.

अंजीर.8. USGFDG=7.

Google आम्हाला पुन्हा मदत करेल. थोडा शोध घेतल्यावर, आम्हाला GitHub वर एक मनोरंजक प्रकल्प सापडला - फोल्डर लॉकर, .Net मध्ये लिहिलेला आणि दुसर्या Git खात्यातून 'asmodat' लायब्ररी वापरून.

तांदूळ. 9. फोल्डर लॉकर इंटरफेस. मालवेअर तपासण्याची खात्री करा.

युटिलिटी ही Windows 7 आणि उच्च आवृत्तीसाठी एन्क्रिप्टर आहे, जी मुक्त स्रोत म्हणून वितरीत केली जाते. एनक्रिप्शन दरम्यान, पासवर्ड वापरला जातो, जो त्यानंतरच्या डिक्रिप्शनसाठी आवश्यक असतो. तुम्हाला वैयक्तिक फाइल्स आणि संपूर्ण डिरेक्टरीसह दोन्ही काम करण्याची परवानगी देते.

त्याची लायब्ररी CBC मोडमध्ये Rijndael सिमेट्रिक एन्क्रिप्शन अल्गोरिदम वापरते. हे लक्षात घेण्यासारखे आहे की ब्लॉक आकार 256 बिट्ससाठी निवडला गेला होता - AES मानक मध्ये स्वीकारल्या गेलेल्या विरूद्ध. नंतरचे, आकार 128 बिट्स पर्यंत मर्यादित आहे.

आमची की PBKDF2 मानकानुसार तयार केली आहे. या प्रकरणात, युटिलिटीमध्ये प्रविष्ट केलेल्या स्ट्रिंगमधून पासवर्ड SHA-256 आहे. फक्त डिक्रिप्शन की व्युत्पन्न करण्यासाठी ही स्ट्रिंग शोधणे बाकी आहे.

बरं, आमच्या आधीच डीकोड केलेल्या वर परत जाऊया pass.key. संख्यांचा संच आणि 'अस्मोदत' मजकूर असलेली ती ओळ आठवते? स्ट्रिंगचे पहिले 20 बाइट्स फोल्डर लॉकरसाठी पासवर्ड म्हणून वापरण्याचा प्रयत्न करूया.

पहा, ते कार्य करते! कोड शब्द आला, आणि सर्वकाही अचूकपणे उलगडले. पासवर्डमधील वर्णांनुसार, हे ASCII मधील विशिष्ट शब्दाचे HEX प्रतिनिधित्व आहे. कोड शब्द मजकूर स्वरूपात प्रदर्शित करण्याचा प्रयत्न करूया. आम्हाला मिळते'shadowwolf'. आधीच lycanthropy ची लक्षणे जाणवत आहेत?

आता लॉकर कसे कार्य करते हे जाणून घेऊन, प्रभावित फाइलच्या संरचनेवर आणखी एक नजर टाकूया:

• 02 00 00 00 - नाव एन्क्रिप्शन मोड;
• 58 00 00 00 – एनक्रिप्टेड आणि बेस64 एन्कोड केलेल्या फाइल नावाची लांबी;
• 40 00 00 00 – हस्तांतरित शीर्षलेखाचा आकार.

एनक्रिप्ट केलेले नाव आणि हस्तांतरित केलेले शीर्षलेख अनुक्रमे लाल आणि पिवळ्या रंगात हायलाइट केले आहेत.

तांदूळ. 10. एनक्रिप्ट केलेले नाव लाल रंगात हायलाइट केले आहे, हस्तांतरित शीर्षलेख पिवळ्या रंगात हायलाइट केले आहे.

आता हेक्साडेसिमल प्रतिनिधित्वामध्ये एन्क्रिप्टेड आणि डिक्रिप्टेड नावांची तुलना करूया.

डिक्रिप्ट केलेल्या डेटाची रचना:

• 78 B9 B8 2E – युटिलिटीने तयार केलेला कचरा (4 बाइट);
• 0С 00 00 00 - डिक्रिप्ट केलेल्या नावाची लांबी (12 बाइट);
• पुढे वास्तविक फाइल नाव आणि आवश्यक ब्लॉक लांबी (पॅडिंग) पर्यंत शून्यासह पॅडिंग येते.

तांदूळ. 11. IMG_4114 खूप चांगले दिसते.

III. निष्कर्ष आणि निष्कर्ष

सुरवातीला परत. Wulfric.Ransomware च्या लेखकाला कशामुळे प्रेरित केले आणि त्याने कोणते ध्येय साधले हे आम्हाला माहित नाही. अर्थात, सरासरी वापरकर्त्यासाठी, अशा एन्क्रिप्टरच्या कार्याचा परिणाम एक मोठी आपत्ती वाटेल. फाइल्स उघडत नाहीत. सर्व नावे गेली आहेत. नेहमीच्या चित्राऐवजी पडद्यावर एक लांडगा दिसतो. ते तुम्हाला बिटकॉइन्सबद्दल वाचण्यास भाग पाडतात.

खरे आहे, यावेळी, "भयंकर एन्कोडर" च्या वेषात खंडणीचा असा हास्यास्पद आणि मूर्ख प्रयत्न लपविला गेला होता, जिथे हल्लेखोर रेडीमेड प्रोग्राम वापरतो आणि गुन्ह्याच्या ठिकाणी कळा सोडतो.

तसे, कळा बद्दल. आमच्याकडे दुर्भावनापूर्ण स्क्रिप्ट किंवा ट्रोजन नाही जे आम्हाला हे कसे घडले हे समजण्यास मदत करू शकेल. pass.key - संक्रमित पीसीवर फाइल कोणत्या यंत्रणेद्वारे दिसते ते अज्ञात आहे. परंतु, मला आठवते, लेखकाने त्याच्या नोटमध्ये संकेतशब्दाच्या विशिष्टतेचा उल्लेख केला आहे. तर, डिक्रिप्शनसाठी कोड शब्द जितका अनन्य आहे तितकाच वापरकर्तानाव shadow wolf अद्वितीय आहे :)

आणि तरीही, सावली लांडगा, का आणि का?

स्त्रोत: www.habr.com