Ryuk ransomware ਕਿਵੇਂ ਕੰਮ ਕਰਦਾ ਹੈ, ਜੋ ਕਾਰੋਬਾਰਾਂ 'ਤੇ ਹਮਲਾ ਕਰਦਾ ਹੈ

Ryuk ਪਿਛਲੇ ਕੁਝ ਸਾਲਾਂ ਵਿੱਚ ਸਭ ਤੋਂ ਮਸ਼ਹੂਰ ਰੈਨਸਮਵੇਅਰ ਵਿਕਲਪਾਂ ਵਿੱਚੋਂ ਇੱਕ ਹੈ। ਕਿਉਂਕਿ ਇਹ ਪਹਿਲੀ ਵਾਰ 2018 ਦੀਆਂ ਗਰਮੀਆਂ ਵਿੱਚ ਪ੍ਰਗਟ ਹੋਇਆ ਸੀ, ਇਸਨੇ ਇਕੱਠਾ ਕੀਤਾ ਹੈ ਪੀੜਤਾਂ ਦੀ ਪ੍ਰਭਾਵਸ਼ਾਲੀ ਸੂਚੀ, ਖਾਸ ਕਰਕੇ ਕਾਰੋਬਾਰੀ ਮਾਹੌਲ ਵਿੱਚ, ਜੋ ਕਿ ਇਸਦੇ ਹਮਲਿਆਂ ਦਾ ਮੁੱਖ ਨਿਸ਼ਾਨਾ ਹੈ।

1. ਆਮ ਜਾਣਕਾਰੀ

ਇਸ ਦਸਤਾਵੇਜ਼ ਵਿੱਚ Ryuk ਰੈਨਸਮਵੇਅਰ ਵੇਰੀਐਂਟ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਸ਼ਾਮਲ ਹੈ, ਨਾਲ ਹੀ ਸਿਸਟਮ ਵਿੱਚ ਮਾਲਵੇਅਰ ਲੋਡ ਕਰਨ ਲਈ ਜ਼ਿੰਮੇਵਾਰ ਲੋਡਰ।

Ryuk ransomware ਪਹਿਲੀ ਵਾਰ 2018 ਦੀਆਂ ਗਰਮੀਆਂ ਵਿੱਚ ਪ੍ਰਗਟ ਹੋਇਆ ਸੀ। Ryuk ਅਤੇ ਹੋਰ ransomware ਵਿਚਕਾਰ ਅੰਤਰਾਂ ਵਿੱਚੋਂ ਇੱਕ ਇਹ ਹੈ ਕਿ ਇਸਦਾ ਉਦੇਸ਼ ਕਾਰਪੋਰੇਟ ਵਾਤਾਵਰਣਾਂ 'ਤੇ ਹਮਲਾ ਕਰਨਾ ਹੈ।

2019 ਦੇ ਮੱਧ ਵਿੱਚ, ਸਾਈਬਰ ਅਪਰਾਧੀ ਸਮੂਹਾਂ ਨੇ ਇਸ ਰੈਨਸਮਵੇਅਰ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਵੱਡੀ ਗਿਣਤੀ ਵਿੱਚ ਸਪੈਨਿਸ਼ ਕੰਪਨੀਆਂ 'ਤੇ ਹਮਲਾ ਕੀਤਾ।

ਚੌਲ. 1: Ryuk ransomware ਹਮਲੇ ਦੇ ਸੰਬੰਧ ਵਿੱਚ El Confidencial ਤੋਂ ਅੰਸ਼ [1]

ਚੌਲ. 2: Ryuk ransomware [2] ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਕੀਤੇ ਗਏ ਹਮਲੇ ਬਾਰੇ ਏਲ ਪੇਸ ਤੋਂ ਅੰਸ਼
ਇਸ ਸਾਲ, ਰਿਯੂਕ ਨੇ ਵੱਖ-ਵੱਖ ਦੇਸ਼ਾਂ ਵਿੱਚ ਵੱਡੀ ਗਿਣਤੀ ਵਿੱਚ ਕੰਪਨੀਆਂ 'ਤੇ ਹਮਲਾ ਕੀਤਾ ਹੈ। ਜਿਵੇਂ ਕਿ ਤੁਸੀਂ ਹੇਠਾਂ ਦਿੱਤੇ ਅੰਕੜਿਆਂ ਵਿੱਚ ਦੇਖ ਸਕਦੇ ਹੋ, ਜਰਮਨੀ, ਚੀਨ, ਅਲਜੀਰੀਆ ਅਤੇ ਭਾਰਤ ਸਭ ਤੋਂ ਵੱਧ ਪ੍ਰਭਾਵਿਤ ਹੋਏ ਸਨ।

ਸਾਈਬਰ ਹਮਲਿਆਂ ਦੀ ਗਿਣਤੀ ਦੀ ਤੁਲਨਾ ਕਰਕੇ, ਅਸੀਂ ਦੇਖ ਸਕਦੇ ਹਾਂ ਕਿ Ryuk ਨੇ ਲੱਖਾਂ ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕੀਤਾ ਹੈ ਅਤੇ ਵੱਡੀ ਮਾਤਰਾ ਵਿੱਚ ਡੇਟਾ ਨਾਲ ਸਮਝੌਤਾ ਕੀਤਾ ਹੈ, ਨਤੀਜੇ ਵਜੋਂ ਗੰਭੀਰ ਆਰਥਿਕ ਨੁਕਸਾਨ ਹੋਇਆ ਹੈ।

ਚੌਲ. 3: Ryuk ਦੀ ਗਲੋਬਲ ਗਤੀਵਿਧੀ ਦਾ ਉਦਾਹਰਨ।

ਚੌਲ. 4: 16 ਦੇਸ਼ ਸਭ ਤੋਂ ਵੱਧ Ryuk ਤੋਂ ਪ੍ਰਭਾਵਿਤ ਹਨ

ਚੌਲ. 5: Ryuk ransomware ਦੁਆਰਾ ਹਮਲਾ ਕੀਤੇ ਗਏ ਉਪਭੋਗਤਾਵਾਂ ਦੀ ਗਿਣਤੀ (ਲੱਖਾਂ ਵਿੱਚ)

ਅਜਿਹੀਆਂ ਧਮਕੀਆਂ ਦੇ ਆਮ ਓਪਰੇਟਿੰਗ ਸਿਧਾਂਤ ਦੇ ਅਨੁਸਾਰ, ਇਹ ਰੈਨਸਮਵੇਅਰ, ਏਨਕ੍ਰਿਪਸ਼ਨ ਪੂਰਾ ਹੋਣ ਤੋਂ ਬਾਅਦ, ਪੀੜਤ ਨੂੰ ਇੱਕ ਫਿਰੌਤੀ ਦੀ ਸੂਚਨਾ ਦਿਖਾਉਂਦਾ ਹੈ ਜਿਸਦਾ ਭੁਗਤਾਨ ਐਨਕ੍ਰਿਪਟਡ ਫਾਈਲਾਂ ਤੱਕ ਪਹੁੰਚ ਨੂੰ ਬਹਾਲ ਕਰਨ ਲਈ ਨਿਰਧਾਰਤ ਪਤੇ 'ਤੇ ਬਿਟਕੋਇਨਾਂ ਵਿੱਚ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ।

ਇਹ ਮਾਲਵੇਅਰ ਪਹਿਲੀ ਵਾਰ ਪੇਸ਼ ਕੀਤੇ ਜਾਣ ਤੋਂ ਬਾਅਦ ਬਦਲ ਗਿਆ ਹੈ।
ਇਸ ਦਸਤਾਵੇਜ਼ ਵਿੱਚ ਵਿਸ਼ਲੇਸ਼ਣ ਕੀਤੇ ਗਏ ਇਸ ਧਮਕੀ ਦੇ ਰੂਪ ਨੂੰ ਜਨਵਰੀ 2020 ਵਿੱਚ ਇੱਕ ਹਮਲੇ ਦੀ ਕੋਸ਼ਿਸ਼ ਦੌਰਾਨ ਖੋਜਿਆ ਗਿਆ ਸੀ।

ਇਸਦੀ ਗੁੰਝਲਦਾਰਤਾ ਦੇ ਕਾਰਨ, ਇਸ ਮਾਲਵੇਅਰ ਦਾ ਕਾਰਨ ਅਕਸਰ ਸੰਗਠਿਤ ਸਾਈਬਰ ਅਪਰਾਧੀ ਸਮੂਹਾਂ ਨੂੰ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ, ਜਿਸਨੂੰ APT ਸਮੂਹ ਵੀ ਕਿਹਾ ਜਾਂਦਾ ਹੈ।

Ryuk ਕੋਡ ਦੇ ਹਿੱਸੇ ਵਿੱਚ ਇੱਕ ਹੋਰ ਜਾਣੇ-ਪਛਾਣੇ ਰੈਨਸਮਵੇਅਰ, ਹਰਮੇਸ ਦੇ ਕੋਡ ਅਤੇ ਬਣਤਰ ਨਾਲ ਇੱਕ ਧਿਆਨ ਦੇਣ ਯੋਗ ਸਮਾਨਤਾ ਹੈ, ਜਿਸ ਨਾਲ ਉਹ ਕਈ ਸਮਾਨ ਫੰਕਸ਼ਨਾਂ ਨੂੰ ਸਾਂਝਾ ਕਰਦੇ ਹਨ। ਇਹੀ ਕਾਰਨ ਹੈ ਕਿ ਰਿਯੂਕ ਨੂੰ ਸ਼ੁਰੂ ਵਿੱਚ ਉੱਤਰੀ ਕੋਰੀਆਈ ਸਮੂਹ ਲਾਜ਼ਰਸ ਨਾਲ ਜੋੜਿਆ ਗਿਆ ਸੀ, ਜਿਸ ਨੂੰ ਉਸ ਸਮੇਂ ਹਰਮੇਸ ਰੈਨਸਮਵੇਅਰ ਦੇ ਪਿੱਛੇ ਹੋਣ ਦਾ ਸ਼ੱਕ ਸੀ।

CrowdStrike ਦੀ Falcon X ਸੇਵਾ ਨੇ ਬਾਅਦ ਵਿੱਚ ਨੋਟ ਕੀਤਾ ਕਿ Ryuk ਅਸਲ ਵਿੱਚ WIZARD SPIDER ਸਮੂਹ [4] ਦੁਆਰਾ ਬਣਾਇਆ ਗਿਆ ਸੀ।

ਇਸ ਧਾਰਨਾ ਦਾ ਸਮਰਥਨ ਕਰਨ ਲਈ ਕੁਝ ਸਬੂਤ ਹਨ. ਸਭ ਤੋਂ ਪਹਿਲਾਂ, ਇਸ ਰੈਨਸਮਵੇਅਰ ਦਾ ਇਸ਼ਤਿਹਾਰ ਵੈੱਬਸਾਈਟ exploit.in 'ਤੇ ਦਿੱਤਾ ਗਿਆ ਸੀ, ਜੋ ਕਿ ਇੱਕ ਮਸ਼ਹੂਰ ਰੂਸੀ ਮਾਲਵੇਅਰ ਮਾਰਕੀਟਪਲੇਸ ਹੈ ਅਤੇ ਪਹਿਲਾਂ ਕੁਝ ਰੂਸੀ APT ਸਮੂਹਾਂ ਨਾਲ ਜੁੜਿਆ ਹੋਇਆ ਹੈ।
ਇਹ ਤੱਥ ਇਸ ਸਿਧਾਂਤ ਨੂੰ ਰੱਦ ਕਰਦਾ ਹੈ ਕਿ Ryuk ਨੂੰ ਲਾਜ਼ਰ ਏਪੀਟੀ ਸਮੂਹ ਦੁਆਰਾ ਵਿਕਸਤ ਕੀਤਾ ਜਾ ਸਕਦਾ ਸੀ, ਕਿਉਂਕਿ ਇਹ ਗਰੁੱਪ ਦੇ ਕੰਮ ਕਰਨ ਦੇ ਤਰੀਕੇ ਨਾਲ ਫਿੱਟ ਨਹੀਂ ਬੈਠਦਾ।

ਇਸ ਤੋਂ ਇਲਾਵਾ, Ryuk ਨੂੰ ਇੱਕ ਰੈਨਸਮਵੇਅਰ ਵਜੋਂ ਇਸ਼ਤਿਹਾਰ ਦਿੱਤਾ ਗਿਆ ਸੀ ਜੋ ਰੂਸੀ, ਯੂਕਰੇਨੀ ਅਤੇ ਬੇਲਾਰੂਸੀ ਸਿਸਟਮਾਂ 'ਤੇ ਕੰਮ ਨਹੀਂ ਕਰੇਗਾ। ਇਹ ਵਿਵਹਾਰ Ryuk ਦੇ ਕੁਝ ਸੰਸਕਰਣਾਂ ਵਿੱਚ ਪਾਈ ਗਈ ਇੱਕ ਵਿਸ਼ੇਸ਼ਤਾ ਦੁਆਰਾ ਨਿਰਧਾਰਤ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਜਿੱਥੇ ਇਹ ਸਿਸਟਮ ਦੀ ਭਾਸ਼ਾ ਦੀ ਜਾਂਚ ਕਰਦਾ ਹੈ ਜਿਸ 'ਤੇ ਰੈਨਸਮਵੇਅਰ ਚੱਲ ਰਿਹਾ ਹੈ ਅਤੇ ਜੇਕਰ ਸਿਸਟਮ ਵਿੱਚ ਰੂਸੀ, ਯੂਕਰੇਨੀ ਜਾਂ ਬੇਲਾਰੂਸੀ ਭਾਸ਼ਾ ਹੈ ਤਾਂ ਇਸਨੂੰ ਚੱਲਣ ਤੋਂ ਰੋਕਦਾ ਹੈ। ਅੰਤ ਵਿੱਚ, ਮਸ਼ੀਨ ਦੇ ਇੱਕ ਮਾਹਰ ਵਿਸ਼ਲੇਸ਼ਣ ਨੇ ਜੋ WIZARD SPIDER ਟੀਮ ਦੁਆਰਾ ਹੈਕ ਕੀਤੀ ਗਈ ਸੀ, ਨੇ ਕਈ "ਕਲਾਤਮਕ ਚੀਜ਼ਾਂ" ਦਾ ਖੁਲਾਸਾ ਕੀਤਾ ਜੋ ਕਥਿਤ ਤੌਰ 'ਤੇ ਹਰਮੇਸ ਰੈਨਸਮਵੇਅਰ ਦੇ ਰੂਪ ਵਜੋਂ Ryuk ਦੇ ਵਿਕਾਸ ਵਿੱਚ ਵਰਤੇ ਗਏ ਸਨ।

ਦੂਜੇ ਪਾਸੇ, ਮਾਹਿਰਾਂ ਗੈਬਰੀਏਲਾ ਨਿਕੋਲਾਓ ਅਤੇ ਲੂਸੀਆਨੋ ਮਾਰਟਿਨਸ ਨੇ ਸੁਝਾਅ ਦਿੱਤਾ ਕਿ ਰੈਨਸਮਵੇਅਰ ਨੂੰ ਏਪੀਟੀ ਸਮੂਹ ਕ੍ਰਿਪਟੋਟੈਕ [5] ਦੁਆਰਾ ਵਿਕਸਤ ਕੀਤਾ ਗਿਆ ਹੋ ਸਕਦਾ ਹੈ।
ਇਹ ਇਸ ਤੱਥ ਤੋਂ ਬਾਅਦ ਹੈ ਕਿ ਰਿਯੂਕ ਦੇ ਪ੍ਰਗਟ ਹੋਣ ਤੋਂ ਕਈ ਮਹੀਨੇ ਪਹਿਲਾਂ, ਇਸ ਸਮੂਹ ਨੇ ਉਸੇ ਸਾਈਟ ਦੇ ਫੋਰਮ 'ਤੇ ਜਾਣਕਾਰੀ ਪੋਸਟ ਕੀਤੀ ਸੀ ਕਿ ਉਨ੍ਹਾਂ ਨੇ ਹਰਮੇਸ ਰੈਨਸਮਵੇਅਰ ਦਾ ਨਵਾਂ ਸੰਸਕਰਣ ਵਿਕਸਿਤ ਕੀਤਾ ਸੀ।

ਕਈ ਫੋਰਮ ਉਪਭੋਗਤਾਵਾਂ ਨੇ ਸਵਾਲ ਕੀਤਾ ਕਿ ਕੀ CryptoTech ਨੇ ਅਸਲ ਵਿੱਚ Ryuk ਨੂੰ ਬਣਾਇਆ ਹੈ। ਸਮੂਹ ਨੇ ਫਿਰ ਆਪਣਾ ਬਚਾਅ ਕੀਤਾ ਅਤੇ ਕਿਹਾ ਕਿ ਇਸ ਕੋਲ ਸਬੂਤ ਹਨ ਕਿ ਉਨ੍ਹਾਂ ਨੇ 100% ਰੈਨਸਮਵੇਅਰ ਵਿਕਸਿਤ ਕੀਤਾ ਹੈ।

2. ਗੁਣ

ਅਸੀਂ ਬੂਟਲੋਡਰ ਨਾਲ ਸ਼ੁਰੂ ਕਰਦੇ ਹਾਂ, ਜਿਸਦਾ ਕੰਮ ਉਸ ਸਿਸਟਮ ਦੀ ਪਛਾਣ ਕਰਨਾ ਹੈ ਜੋ ਇਹ ਚਾਲੂ ਹੈ ਤਾਂ ਜੋ Ryuk ransomware ਦਾ "ਸਹੀ" ਸੰਸਕਰਣ ਲਾਂਚ ਕੀਤਾ ਜਾ ਸਕੇ।
ਬੂਟਲੋਡਰ ਹੈਸ਼ ਹੇਠ ਲਿਖੇ ਅਨੁਸਾਰ ਹੈ:

MD5 A73130B0E379A989CBA3D695A157A495
SHA256 EF231EE1A2481B7E627921468E79BB4369CCFAEB19A575748DD2B664ABC4F469

ਇਸ ਡਾਊਨਲੋਡਰ ਦੀ ਇੱਕ ਵਿਸ਼ੇਸ਼ਤਾ ਇਹ ਹੈ ਕਿ ਇਸ ਵਿੱਚ ਕੋਈ ਵੀ ਮੈਟਾਡੇਟਾ ਨਹੀਂ ਹੈ, ਯਾਨੀ. ਇਸ ਮਾਲਵੇਅਰ ਦੇ ਨਿਰਮਾਤਾਵਾਂ ਨੇ ਇਸ ਵਿੱਚ ਕੋਈ ਜਾਣਕਾਰੀ ਸ਼ਾਮਲ ਨਹੀਂ ਕੀਤੀ ਹੈ।

ਕਈ ਵਾਰ ਉਹ ਉਪਭੋਗਤਾ ਨੂੰ ਇਹ ਸੋਚਣ ਲਈ ਭਰਮਾਉਣ ਲਈ ਗਲਤ ਡੇਟਾ ਸ਼ਾਮਲ ਕਰਦੇ ਹਨ ਕਿ ਉਹ ਇੱਕ ਜਾਇਜ਼ ਐਪਲੀਕੇਸ਼ਨ ਚਲਾ ਰਹੇ ਹਨ। ਹਾਲਾਂਕਿ, ਜਿਵੇਂ ਕਿ ਅਸੀਂ ਬਾਅਦ ਵਿੱਚ ਦੇਖਾਂਗੇ, ਜੇਕਰ ਲਾਗ ਵਿੱਚ ਉਪਭੋਗਤਾ ਦੀ ਆਪਸੀ ਤਾਲਮੇਲ ਸ਼ਾਮਲ ਨਹੀਂ ਹੁੰਦੀ ਹੈ (ਜਿਵੇਂ ਕਿ ਇਸ ਰੈਨਸਮਵੇਅਰ ਨਾਲ ਮਾਮਲਾ ਹੈ), ਤਾਂ ਹਮਲਾਵਰ ਮੈਟਾਡੇਟਾ ਦੀ ਵਰਤੋਂ ਕਰਨਾ ਜ਼ਰੂਰੀ ਨਹੀਂ ਸਮਝਦੇ।

ਚੌਲ. 6: ਨਮੂਨਾ ਮੈਟਾ ਡੇਟਾ

ਨਮੂਨਾ ਨੂੰ 32-ਬਿੱਟ ਫਾਰਮੈਟ ਵਿੱਚ ਕੰਪਾਇਲ ਕੀਤਾ ਗਿਆ ਸੀ ਤਾਂ ਜੋ ਇਹ 32-ਬਿੱਟ ਅਤੇ 64-ਬਿੱਟ ਦੋਵਾਂ ਸਿਸਟਮਾਂ 'ਤੇ ਚੱਲ ਸਕੇ।

3. ਪ੍ਰਵੇਸ਼ ਵੈਕਟਰ

ਨਮੂਨਾ ਜੋ ਕਿ ਡਾਉਨਲੋਡ ਕਰਦਾ ਹੈ ਅਤੇ ਚਲਾਉਂਦਾ ਹੈ Ryuk ਇੱਕ ਰਿਮੋਟ ਕਨੈਕਸ਼ਨ ਦੁਆਰਾ ਸਾਡੇ ਸਿਸਟਮ ਵਿੱਚ ਦਾਖਲ ਹੋਇਆ ਸੀ, ਅਤੇ ਐਕਸੈਸ ਪੈਰਾਮੀਟਰ ਇੱਕ ਸ਼ੁਰੂਆਤੀ RDP ਹਮਲੇ ਦੁਆਰਾ ਪ੍ਰਾਪਤ ਕੀਤੇ ਗਏ ਸਨ।

ਚੌਲ. 7: ਹਮਲਾ ਰਜਿਸਟਰ

ਹਮਲਾਵਰ ਰਿਮੋਟ ਤੋਂ ਸਿਸਟਮ ਵਿੱਚ ਲੌਗਇਨ ਕਰਨ ਵਿੱਚ ਕਾਮਯਾਬ ਰਿਹਾ। ਉਸ ਤੋਂ ਬਾਅਦ, ਉਸਨੇ ਸਾਡੇ ਨਮੂਨੇ ਨਾਲ ਇੱਕ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਫਾਈਲ ਬਣਾਈ.
ਇਸ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਫਾਈਲ ਨੂੰ ਚੱਲਣ ਤੋਂ ਪਹਿਲਾਂ ਇੱਕ ਐਂਟੀਵਾਇਰਸ ਹੱਲ ਦੁਆਰਾ ਬਲੌਕ ਕੀਤਾ ਗਿਆ ਸੀ।

ਚੌਲ. 8: ਪੈਟਰਨ ਲਾਕ

ਚੌਲ. 9: ਪੈਟਰਨ ਲਾਕ

ਜਦੋਂ ਖਤਰਨਾਕ ਫਾਈਲ ਨੂੰ ਬਲੌਕ ਕੀਤਾ ਗਿਆ ਸੀ, ਹਮਲਾਵਰ ਨੇ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਫਾਈਲ ਦੇ ਇੱਕ ਐਨਕ੍ਰਿਪਟਡ ਸੰਸਕਰਣ ਨੂੰ ਡਾਊਨਲੋਡ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕੀਤੀ, ਜਿਸ ਨੂੰ ਵੀ ਬਲੌਕ ਕੀਤਾ ਗਿਆ ਸੀ।

ਚੌਲ. 10: ਨਮੂਨਿਆਂ ਦਾ ਸੈੱਟ ਜਿਸ ਨੂੰ ਹਮਲਾਵਰ ਨੇ ਚਲਾਉਣ ਦੀ ਕੋਸ਼ਿਸ਼ ਕੀਤੀ

ਅੰਤ ਵਿੱਚ, ਉਸਨੇ ਐਨਕ੍ਰਿਪਟਡ ਕੰਸੋਲ ਦੁਆਰਾ ਇੱਕ ਹੋਰ ਖਤਰਨਾਕ ਫਾਈਲ ਨੂੰ ਡਾਊਨਲੋਡ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕੀਤੀ
ਐਂਟੀਵਾਇਰਸ ਸੁਰੱਖਿਆ ਨੂੰ ਬਾਈਪਾਸ ਕਰਨ ਲਈ PowerShell। ਪਰ ਉਸਨੂੰ ਵੀ ਰੋਕ ਦਿੱਤਾ ਗਿਆ।

ਚੌਲ. 11: ਖਤਰਨਾਕ ਸਮੱਗਰੀ ਦੇ ਨਾਲ PowerShell ਬਲੌਕ ਕੀਤਾ ਗਿਆ


ਚੌਲ. 12: ਖਤਰਨਾਕ ਸਮੱਗਰੀ ਦੇ ਨਾਲ PowerShell ਬਲੌਕ ਕੀਤਾ ਗਿਆ

4. ਲੋਡਰ

ਜਦੋਂ ਇਹ ਚਲਾਉਂਦਾ ਹੈ, ਇਹ ਫੋਲਡਰ ਵਿੱਚ ਇੱਕ ReadMe ਫਾਈਲ ਲਿਖਦਾ ਹੈ % ਆਰਜ਼ੀ%, ਜੋ ਕਿ Ryuk ਲਈ ਖਾਸ ਹੈ। ਇਹ ਫਾਈਲ ਪ੍ਰੋਟੋਨਮੇਲ ਡੋਮੇਨ ਵਿੱਚ ਇੱਕ ਈਮੇਲ ਪਤਾ ਰੱਖਣ ਵਾਲਾ ਇੱਕ ਰਿਹਾਈ ਦਾ ਨੋਟ ਹੈ, ਜੋ ਕਿ ਇਸ ਮਾਲਵੇਅਰ ਪਰਿਵਾਰ ਵਿੱਚ ਕਾਫ਼ੀ ਆਮ ਹੈ: [ਈਮੇਲ ਸੁਰੱਖਿਅਤ]

ਚੌਲ. 13: ਰਿਹਾਈ ਦੀ ਮੰਗ

ਜਦੋਂ ਬੂਟਲੋਡਰ ਚੱਲ ਰਿਹਾ ਹੈ, ਤੁਸੀਂ ਦੇਖ ਸਕਦੇ ਹੋ ਕਿ ਇਹ ਬੇਤਰਤੀਬ ਨਾਵਾਂ ਨਾਲ ਕਈ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਫਾਈਲਾਂ ਲਾਂਚ ਕਰਦਾ ਹੈ। ਉਹ ਇੱਕ ਲੁਕਵੇਂ ਫੋਲਡਰ ਵਿੱਚ ਸਟੋਰ ਕੀਤੇ ਜਾਂਦੇ ਹਨ ਪਬਲਿਕ, ਪਰ ਜੇਕਰ ਵਿਕਲਪ ਓਪਰੇਟਿੰਗ ਸਿਸਟਮ ਵਿੱਚ ਕਿਰਿਆਸ਼ੀਲ ਨਹੀਂ ਹੈ "ਲੁਕੀਆਂ ਫਾਈਲਾਂ ਅਤੇ ਫੋਲਡਰ ਦਿਖਾਓ", ਫਿਰ ਉਹ ਲੁਕੇ ਰਹਿਣਗੇ। ਇਸ ਤੋਂ ਇਲਾਵਾ, ਇਹ ਫਾਈਲਾਂ 64-ਬਿੱਟ ਹਨ, ਪੇਰੈਂਟ ਫਾਈਲ ਦੇ ਉਲਟ, ਜੋ ਕਿ 32-ਬਿੱਟ ਹੈ।

ਚੌਲ. 14: ਨਮੂਨੇ ਦੁਆਰਾ ਚਲਾਈਆਂ ਜਾਣ ਵਾਲੀਆਂ ਫਾਈਲਾਂ

ਜਿਵੇਂ ਕਿ ਤੁਸੀਂ ਉਪਰੋਕਤ ਚਿੱਤਰ ਵਿੱਚ ਦੇਖ ਸਕਦੇ ਹੋ, Ryuk ਨੇ icacls.exe ਲਾਂਚ ਕੀਤਾ ਹੈ, ਜਿਸਦੀ ਵਰਤੋਂ ਸਾਰੇ ACLs (ਐਕਸੈਸ ਕੰਟਰੋਲ ਸੂਚੀਆਂ) ਨੂੰ ਸੋਧਣ ਲਈ ਕੀਤੀ ਜਾਵੇਗੀ, ਇਸ ਤਰ੍ਹਾਂ ਫਲੈਗਾਂ ਦੀ ਪਹੁੰਚ ਅਤੇ ਸੋਧ ਨੂੰ ਯਕੀਨੀ ਬਣਾਇਆ ਜਾਵੇਗਾ।

ਇਹ ਸਾਰੇ ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ ਡਿਵਾਈਸ (/T) ਦੀਆਂ ਸਾਰੀਆਂ ਫਾਈਲਾਂ ਤੱਕ ਪੂਰੀ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕਰਦਾ ਹੈ, ਬਿਨਾਂ ਕਿਸੇ ਤਰੁੱਟੀ (/C) ਅਤੇ ਬਿਨਾਂ ਕੋਈ ਸੰਦੇਸ਼ ਦਿਖਾਏ (/Q)।

ਚੌਲ. 15: ਨਮੂਨੇ ਦੁਆਰਾ ਲਾਂਚ ਕੀਤੇ icacls.exe ਦੇ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਪੈਰਾਮੀਟਰ

ਇਹ ਨੋਟ ਕਰਨਾ ਮਹੱਤਵਪੂਰਨ ਹੈ ਕਿ Ryuk ਜਾਂਚ ਕਰਦਾ ਹੈ ਕਿ ਤੁਸੀਂ ਵਿੰਡੋਜ਼ ਦਾ ਕਿਹੜਾ ਸੰਸਕਰਣ ਚਲਾ ਰਹੇ ਹੋ। ਇਸ ਦੇ ਲਈ ਉਹ
ਵਰਤ ਕੇ ਇੱਕ ਸੰਸਕਰਣ ਜਾਂਚ ਕਰਦਾ ਹੈ GetVersionExW, ਜਿਸ ਵਿੱਚ ਇਹ ਝੰਡੇ ਦੇ ਮੁੱਲ ਦੀ ਜਾਂਚ ਕਰਦਾ ਹੈ lpVersionInformationਇਹ ਦਰਸਾਉਂਦਾ ਹੈ ਕਿ ਕੀ ਵਿੰਡੋਜ਼ ਦਾ ਮੌਜੂਦਾ ਸੰਸਕਰਣ ਇਸ ਤੋਂ ਨਵਾਂ ਹੈ Windows XP.

ਇਸ ਗੱਲ 'ਤੇ ਨਿਰਭਰ ਕਰਦੇ ਹੋਏ ਕਿ ਕੀ ਤੁਸੀਂ ਵਿੰਡੋਜ਼ ਐਕਸਪੀ ਤੋਂ ਬਾਅਦ ਵਿੱਚ ਇੱਕ ਸੰਸਕਰਣ ਚਲਾ ਰਹੇ ਹੋ, ਬੂਟ ਲੋਡਰ ਸਥਾਨਕ ਉਪਭੋਗਤਾ ਫੋਲਡਰ ਨੂੰ ਲਿਖੇਗਾ - ਇਸ ਮਾਮਲੇ ਵਿੱਚ ਫੋਲਡਰ ਵਿੱਚ %ਜਨਤਕ%.

ਚੌਲ. 17: ਓਪਰੇਟਿੰਗ ਸਿਸਟਮ ਸੰਸਕਰਣ ਦੀ ਜਾਂਚ ਕਰ ਰਿਹਾ ਹੈ

ਲਿਖੀ ਜਾ ਰਹੀ ਫਾਈਲ Ryuk ਹੈ। ਇਹ ਫਿਰ ਇਸਨੂੰ ਚਲਾਉਂਦਾ ਹੈ, ਇੱਕ ਪੈਰਾਮੀਟਰ ਦੇ ਤੌਰ ਤੇ ਇਸਦਾ ਆਪਣਾ ਪਤਾ ਪਾਸ ਕਰਦਾ ਹੈ.

ਚੌਲ. 18: ShellExecute ਦੁਆਰਾ Ryuk ਨੂੰ ਚਲਾਓ

ਸਭ ਤੋਂ ਪਹਿਲਾਂ Ryuk ਜੋ ਕਰਦਾ ਹੈ ਉਹ ਹੈ ਇਨਪੁਟ ਪੈਰਾਮੀਟਰ ਪ੍ਰਾਪਤ ਕਰਨਾ। ਇਸ ਵਾਰ ਦੋ ਇੰਪੁੱਟ ਪੈਰਾਮੀਟਰ ਹਨ (ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਖੁਦ ਅਤੇ ਡਰਾਪਰ ਐਡਰੈੱਸ) ਜੋ ਇਸਦੇ ਆਪਣੇ ਟਰੇਸ ਨੂੰ ਹਟਾਉਣ ਲਈ ਵਰਤੇ ਜਾਂਦੇ ਹਨ।

ਚੌਲ. 19: ਇੱਕ ਪ੍ਰਕਿਰਿਆ ਬਣਾਉਣਾ

ਤੁਸੀਂ ਇਹ ਵੀ ਦੇਖ ਸਕਦੇ ਹੋ ਕਿ ਇੱਕ ਵਾਰ ਇਸ ਦੇ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਨੂੰ ਚਲਾਉਣ ਤੋਂ ਬਾਅਦ, ਇਹ ਆਪਣੇ ਆਪ ਨੂੰ ਮਿਟਾ ਦਿੰਦਾ ਹੈ, ਇਸ ਤਰ੍ਹਾਂ ਉਸ ਫੋਲਡਰ ਵਿੱਚ ਆਪਣੀ ਮੌਜੂਦਗੀ ਦਾ ਕੋਈ ਨਿਸ਼ਾਨ ਨਹੀਂ ਛੱਡਦਾ ਜਿੱਥੇ ਇਸਨੂੰ ਚਲਾਇਆ ਗਿਆ ਸੀ।

ਚੌਲ. 20: ਇੱਕ ਫਾਈਲ ਨੂੰ ਮਿਟਾਉਣਾ

5. RYUK

5.1 ਮੌਜੂਦਗੀ
Ryuk, ਹੋਰ ਮਾਲਵੇਅਰ ਵਾਂਗ, ਜਿੰਨਾ ਸੰਭਵ ਹੋ ਸਕੇ ਸਿਸਟਮ 'ਤੇ ਰਹਿਣ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਦਾ ਹੈ। ਜਿਵੇਂ ਕਿ ਉੱਪਰ ਦਿਖਾਇਆ ਗਿਆ ਹੈ, ਇਸ ਟੀਚੇ ਨੂੰ ਪ੍ਰਾਪਤ ਕਰਨ ਦਾ ਇੱਕ ਤਰੀਕਾ ਹੈ ਗੁਪਤ ਰੂਪ ਵਿੱਚ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਫਾਈਲਾਂ ਬਣਾਉਣਾ ਅਤੇ ਚਲਾਉਣਾ। ਅਜਿਹਾ ਕਰਨ ਲਈ, ਸਭ ਤੋਂ ਆਮ ਅਭਿਆਸ ਰਜਿਸਟਰੀ ਕੁੰਜੀ ਨੂੰ ਬਦਲਣਾ ਹੈ ਵਰਤਮਾਨ ਵਰਜਨਰਨ.
ਇਸ ਸਥਿਤੀ ਵਿੱਚ, ਤੁਸੀਂ ਵੇਖ ਸਕਦੇ ਹੋ ਕਿ ਇਸ ਉਦੇਸ਼ ਲਈ ਪਹਿਲੀ ਫਾਈਲ ਲਾਂਚ ਕੀਤੀ ਜਾਣੀ ਹੈ VWjRF.exe
(ਫਾਈਲ ਦਾ ਨਾਮ ਬੇਤਰਤੀਬੇ ਤੌਰ 'ਤੇ ਤਿਆਰ ਕੀਤਾ ਗਿਆ ਹੈ) ਲਾਂਚ ਕਰਦਾ ਹੈ cmd.exe.

ਚੌਲ. 21: VWjRF.exe ਨੂੰ ਚਲਾਉਣਾ

ਫਿਰ ਕਮਾਂਡ ਦਿਓ ਰਨ ਨਾਮ ਨਾਲ "svchosਇਸ ਤਰ੍ਹਾਂ, ਜੇਕਰ ਤੁਸੀਂ ਕਿਸੇ ਵੀ ਸਮੇਂ ਰਜਿਸਟਰੀ ਕੁੰਜੀਆਂ ਦੀ ਜਾਂਚ ਕਰਨਾ ਚਾਹੁੰਦੇ ਹੋ, ਤਾਂ ਤੁਸੀਂ ਆਸਾਨੀ ਨਾਲ ਇਸ ਤਬਦੀਲੀ ਨੂੰ ਮਿਸ ਕਰ ਸਕਦੇ ਹੋ, svchost ਨਾਲ ਇਸ ਨਾਮ ਦੀ ਸਮਾਨਤਾ ਦਿੱਤੀ ਗਈ ਹੈ। ਇਸ ਕੁੰਜੀ ਦਾ ਧੰਨਵਾਦ, Ryuk ਸਿਸਟਮ ਵਿੱਚ ਇਸਦੀ ਮੌਜੂਦਗੀ ਨੂੰ ਯਕੀਨੀ ਬਣਾਉਂਦਾ ਹੈ। ਜੇਕਰ ਸਿਸਟਮ ਨਹੀਂ ਹੈ। ਅਜੇ ਤੱਕ ਲਾਗ ਲੱਗ ਗਈ ਹੈ, ਫਿਰ ਜਦੋਂ ਤੁਸੀਂ ਸਿਸਟਮ ਨੂੰ ਰੀਬੂਟ ਕਰਦੇ ਹੋ, ਤਾਂ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਦੁਬਾਰਾ ਕੋਸ਼ਿਸ਼ ਕਰੇਗਾ।

ਚੌਲ. 22: ਨਮੂਨਾ ਰਜਿਸਟਰੀ ਕੁੰਜੀ ਵਿੱਚ ਮੌਜੂਦਗੀ ਨੂੰ ਯਕੀਨੀ ਬਣਾਉਂਦਾ ਹੈ

ਅਸੀਂ ਇਹ ਵੀ ਦੇਖ ਸਕਦੇ ਹਾਂ ਕਿ ਇਹ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਦੋ ਸੇਵਾਵਾਂ ਨੂੰ ਰੋਕਦਾ ਹੈ:
"ਆਡੀਓਐਂਡਪੁਆਇੰਟ ਬਿਲਡਰ", ਜੋ, ਜਿਵੇਂ ਕਿ ਇਸਦਾ ਨਾਮ ਦਰਸਾਉਂਦਾ ਹੈ, ਸਿਸਟਮ ਆਡੀਓ ਨਾਲ ਮੇਲ ਖਾਂਦਾ ਹੈ,

ਚੌਲ. 23: ਨਮੂਨਾ ਸਿਸਟਮ ਆਡੀਓ ਸੇਵਾ ਨੂੰ ਰੋਕਦਾ ਹੈ

и ਸਮਸ, ਜੋ ਕਿ ਇੱਕ ਖਾਤਾ ਪ੍ਰਬੰਧਨ ਸੇਵਾ ਹੈ। ਇਹਨਾਂ ਦੋ ਸੇਵਾਵਾਂ ਨੂੰ ਰੋਕਣਾ Ryuk ਦੀ ਵਿਸ਼ੇਸ਼ਤਾ ਹੈ. ਇਸ ਸਥਿਤੀ ਵਿੱਚ, ਜੇਕਰ ਸਿਸਟਮ ਇੱਕ SIEM ਸਿਸਟਮ ਨਾਲ ਜੁੜਿਆ ਹੋਇਆ ਹੈ, ਤਾਂ ਰੈਨਸਮਵੇਅਰ ਨੂੰ ਭੇਜਣਾ ਬੰਦ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਦਾ ਹੈ ਸੀਆਈਐਮ ਕੋਈ ਚੇਤਾਵਨੀ. ਇਸ ਤਰ੍ਹਾਂ, ਉਹ ਆਪਣੇ ਅਗਲੇ ਕਦਮਾਂ ਦੀ ਰੱਖਿਆ ਕਰਦਾ ਹੈ ਕਿਉਂਕਿ ਕੁਝ SAM ਸੇਵਾਵਾਂ Ryuk ਨੂੰ ਚਲਾਉਣ ਤੋਂ ਬਾਅਦ ਆਪਣਾ ਕੰਮ ਸਹੀ ਢੰਗ ਨਾਲ ਸ਼ੁਰੂ ਨਹੀਂ ਕਰ ਸਕਣਗੀਆਂ।

ਚੌਲ. 24: ਨਮੂਨਾ ਸੈਮਸ ਸੇਵਾ ਨੂੰ ਰੋਕਦਾ ਹੈ

5.2 ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰ

ਆਮ ਤੌਰ 'ਤੇ, Ryuk ਨੈੱਟਵਰਕ ਦੇ ਅੰਦਰ ਪਿੱਛੇ ਵੱਲ ਜਾਣ ਨਾਲ ਸ਼ੁਰੂ ਹੁੰਦਾ ਹੈ ਜਾਂ ਇਸਨੂੰ ਕਿਸੇ ਹੋਰ ਮਾਲਵੇਅਰ ਦੁਆਰਾ ਲਾਂਚ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਜਿਵੇਂ ਕਿ ਇਮੋਟੈਟ ਜ ਟ੍ਰਿਕਬੋਟ, ਜੋ, ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰ ਵਧਾਉਣ ਦੀ ਸਥਿਤੀ ਵਿੱਚ, ਇਹਨਾਂ ਉੱਚੇ ਅਧਿਕਾਰਾਂ ਨੂੰ ਰੈਨਸਮਵੇਅਰ ਵਿੱਚ ਟ੍ਰਾਂਸਫਰ ਕਰਦੇ ਹਨ।

ਇਸ ਤੋਂ ਪਹਿਲਾਂ, ਲਾਗੂ ਕਰਨ ਦੀ ਪ੍ਰਕਿਰਿਆ ਦੀ ਸ਼ੁਰੂਆਤ ਵਜੋਂ, ਅਸੀਂ ਉਸਨੂੰ ਪ੍ਰਕਿਰਿਆ ਨੂੰ ਪੂਰਾ ਕਰਦੇ ਹੋਏ ਦੇਖਦੇ ਹਾਂ ਖੁਦ ਦੀ ਨਕਲ ਕਰੋ, ਜਿਸਦਾ ਮਤਲਬ ਹੈ ਕਿ ਐਕਸੈਸ ਟੋਕਨ ਦੀ ਸੁਰੱਖਿਆ ਸਮੱਗਰੀ ਨੂੰ ਸਟ੍ਰੀਮ ਵਿੱਚ ਪਾਸ ਕੀਤਾ ਜਾਵੇਗਾ, ਜਿੱਥੇ ਇਸਨੂੰ ਤੁਰੰਤ ਵਰਤ ਕੇ ਪ੍ਰਾਪਤ ਕੀਤਾ ਜਾਵੇਗਾ GetCurrentThread.

ਚੌਲ. 25: ਇਮਪਰਸਨੇਟ ਸੈਲਫ ਨੂੰ ਕਾਲ ਕਰੋ

ਅਸੀਂ ਫਿਰ ਦੇਖਦੇ ਹਾਂ ਕਿ ਇਹ ਇੱਕ ਧਾਗੇ ਨਾਲ ਇੱਕ ਐਕਸੈਸ ਟੋਕਨ ਨੂੰ ਜੋੜ ਦੇਵੇਗਾ। ਅਸੀਂ ਇਹ ਵੀ ਦੇਖਦੇ ਹਾਂ ਕਿ ਝੰਡੇ ਵਿੱਚੋਂ ਇੱਕ ਹੈ ਲੋੜੀਂਦੀ ਪਹੁੰਚ, ਜਿਸਦੀ ਵਰਤੋਂ ਉਸ ਪਹੁੰਚ ਨੂੰ ਕੰਟਰੋਲ ਕਰਨ ਲਈ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ ਜੋ ਥਰਿੱਡ ਕੋਲ ਹੋਵੇਗੀ। ਇਸ ਸਥਿਤੀ ਵਿੱਚ ਉਹ ਮੁੱਲ ਜੋ edx ਨੂੰ ਪ੍ਰਾਪਤ ਹੋਵੇਗਾ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ TOKEN_ALL_ACESS ਜਾਂ ਹੋਰ - TOKEN_WRITE.

ਚੌਲ. 26: ਇੱਕ ਫਲੋ ਟੋਕਨ ਬਣਾਉਣਾ

ਫਿਰ ਉਹ ਵਰਤੇਗਾ SeDebugPrivilege ਅਤੇ ਥਰਿੱਡ 'ਤੇ ਡੀਬੱਗ ਅਨੁਮਤੀਆਂ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ ਇੱਕ ਕਾਲ ਕਰੇਗਾ, ਨਤੀਜੇ ਵਜੋਂ PROCESS_ALL_ACCESS, ਉਹ ਕਿਸੇ ਵੀ ਲੋੜੀਂਦੀ ਪ੍ਰਕਿਰਿਆ ਤੱਕ ਪਹੁੰਚ ਕਰਨ ਦੇ ਯੋਗ ਹੋਵੇਗਾ। ਹੁਣ, ਇਹ ਦਿੱਤਾ ਗਿਆ ਹੈ ਕਿ ਐਨਕ੍ਰਿਪਟਰ ਕੋਲ ਪਹਿਲਾਂ ਹੀ ਇੱਕ ਤਿਆਰ ਸਟ੍ਰੀਮ ਹੈ, ਜੋ ਕੁਝ ਬਚਿਆ ਹੈ ਉਹ ਆਖਰੀ ਪੜਾਅ 'ਤੇ ਜਾਣਾ ਹੈ।

ਚੌਲ. 27: SeDebugPrivilege ਅਤੇ Privilege Escalation ਫੰਕਸ਼ਨ ਨੂੰ ਕਾਲ ਕਰਨਾ

ਇੱਕ ਪਾਸੇ, ਸਾਡੇ ਕੋਲ LookupPrivilegeValueW ਹੈ, ਜੋ ਸਾਨੂੰ ਉਹਨਾਂ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰਾਂ ਬਾਰੇ ਲੋੜੀਂਦੀ ਜਾਣਕਾਰੀ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ ਜੋ ਅਸੀਂ ਵਧਾਉਣਾ ਚਾਹੁੰਦੇ ਹਾਂ।

ਚੌਲ. 28: ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰ ਵਧਾਉਣ ਲਈ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰਾਂ ਬਾਰੇ ਜਾਣਕਾਰੀ ਲਈ ਬੇਨਤੀ ਕਰੋ

ਦੂਜੇ ਪਾਸੇ, ਸਾਡੇ ਕੋਲ ਹੈ ਟੋਕਨ ਦੇ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰਾਂ ਨੂੰ ਵਿਵਸਥਿਤ ਕਰੋ, ਜੋ ਸਾਨੂੰ ਸਾਡੀ ਧਾਰਾ ਲਈ ਲੋੜੀਂਦੇ ਅਧਿਕਾਰ ਪ੍ਰਾਪਤ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ। ਇਸ ਮਾਮਲੇ ਵਿੱਚ, ਸਭ ਮਹੱਤਵਪੂਰਨ ਗੱਲ ਇਹ ਹੈ ਕਿ ਨਿਊਸਟੇਟ, ਜਿਸਦਾ ਝੰਡਾ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰ ਪ੍ਰਦਾਨ ਕਰੇਗਾ।

ਚੌਲ. 29: ਇੱਕ ਟੋਕਨ ਲਈ ਅਨੁਮਤੀਆਂ ਨੂੰ ਸੈੱਟ ਕਰਨਾ

5.3 ਲਾਗੂ ਕਰਨਾ

ਇਸ ਭਾਗ ਵਿੱਚ, ਅਸੀਂ ਦਿਖਾਵਾਂਗੇ ਕਿ ਨਮੂਨਾ ਇਸ ਰਿਪੋਰਟ ਵਿੱਚ ਪਹਿਲਾਂ ਦੱਸੀ ਗਈ ਲਾਗੂ ਕਰਨ ਦੀ ਪ੍ਰਕਿਰਿਆ ਕਿਵੇਂ ਕਰਦਾ ਹੈ।

ਲਾਗੂ ਕਰਨ ਦੀ ਪ੍ਰਕਿਰਿਆ ਦਾ ਮੁੱਖ ਟੀਚਾ, ਅਤੇ ਨਾਲ ਹੀ ਵਾਧਾ, ਤੱਕ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕਰਨਾ ਹੈ ਸ਼ੈਡੋ ਕਾਪੀਆਂ. ਅਜਿਹਾ ਕਰਨ ਲਈ, ਉਸਨੂੰ ਸਥਾਨਕ ਉਪਭੋਗਤਾ ਦੇ ਅਧਿਕਾਰਾਂ ਨਾਲੋਂ ਵੱਧ ਅਧਿਕਾਰਾਂ ਵਾਲੇ ਥਰਿੱਡ ਨਾਲ ਕੰਮ ਕਰਨ ਦੀ ਜ਼ਰੂਰਤ ਹੈ. ਇੱਕ ਵਾਰ ਜਦੋਂ ਇਹ ਅਜਿਹੇ ਉੱਚੇ ਅਧਿਕਾਰ ਪ੍ਰਾਪਤ ਕਰ ਲੈਂਦਾ ਹੈ, ਤਾਂ ਇਹ ਕਾਪੀਆਂ ਨੂੰ ਮਿਟਾ ਦੇਵੇਗਾ ਅਤੇ ਹੋਰ ਪ੍ਰਕਿਰਿਆਵਾਂ ਵਿੱਚ ਬਦਲਾਅ ਕਰੇਗਾ ਤਾਂ ਜੋ ਓਪਰੇਟਿੰਗ ਸਿਸਟਮ ਵਿੱਚ ਪੁਰਾਣੇ ਰੀਸਟੋਰ ਪੁਆਇੰਟ 'ਤੇ ਵਾਪਸ ਜਾਣਾ ਅਸੰਭਵ ਹੋ ਸਕੇ।

ਜਿਵੇਂ ਕਿ ਇਸ ਕਿਸਮ ਦੇ ਮਾਲਵੇਅਰ ਨਾਲ ਆਮ ਹੈ, ਇਹ ਵਰਤਦਾ ਹੈ CreateToolHelp32Snapshotਇਸ ਲਈ ਇਹ ਵਰਤਮਾਨ ਵਿੱਚ ਚੱਲ ਰਹੀਆਂ ਪ੍ਰਕਿਰਿਆਵਾਂ ਦਾ ਇੱਕ ਸਨੈਪਸ਼ਾਟ ਲੈਂਦਾ ਹੈ ਅਤੇ ਉਹਨਾਂ ਪ੍ਰਕਿਰਿਆਵਾਂ ਨੂੰ ਵਰਤ ਕੇ ਐਕਸੈਸ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਦਾ ਹੈ OpenProcess. ਇੱਕ ਵਾਰ ਜਦੋਂ ਇਹ ਪ੍ਰਕਿਰਿਆ ਤੱਕ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕਰ ਲੈਂਦਾ ਹੈ, ਤਾਂ ਇਹ ਪ੍ਰਕਿਰਿਆ ਦੇ ਪੈਰਾਮੀਟਰਾਂ ਨੂੰ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ ਆਪਣੀ ਜਾਣਕਾਰੀ ਦੇ ਨਾਲ ਇੱਕ ਟੋਕਨ ਵੀ ਖੋਲ੍ਹਦਾ ਹੈ।

ਚੌਲ. 30: ਕੰਪਿਊਟਰ ਤੋਂ ਪ੍ਰਕਿਰਿਆਵਾਂ ਨੂੰ ਮੁੜ ਪ੍ਰਾਪਤ ਕਰਨਾ

ਅਸੀਂ ਗਤੀਸ਼ੀਲ ਤੌਰ 'ਤੇ ਦੇਖ ਸਕਦੇ ਹਾਂ ਕਿ ਇਹ CreateToolhelp140002Snapshot ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਰੁਟੀਨ 9D32C ਵਿੱਚ ਚੱਲ ਰਹੀਆਂ ਪ੍ਰਕਿਰਿਆਵਾਂ ਦੀ ਸੂਚੀ ਕਿਵੇਂ ਪ੍ਰਾਪਤ ਕਰਦਾ ਹੈ। ਉਹਨਾਂ ਨੂੰ ਪ੍ਰਾਪਤ ਕਰਨ ਤੋਂ ਬਾਅਦ, ਉਹ ਸੂਚੀ ਵਿੱਚੋਂ ਲੰਘਦਾ ਹੈ, ਓਪਨਪ੍ਰੋਸੈਸ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਇੱਕ-ਇੱਕ ਕਰਕੇ ਪ੍ਰਕਿਰਿਆਵਾਂ ਨੂੰ ਖੋਲ੍ਹਣ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਦਾ ਹੈ ਜਦੋਂ ਤੱਕ ਉਹ ਸਫਲ ਨਹੀਂ ਹੋ ਜਾਂਦਾ। ਇਸ ਮਾਮਲੇ ਵਿੱਚ, ਉਹ ਪਹਿਲੀ ਪ੍ਰਕਿਰਿਆ ਨੂੰ ਖੋਲ੍ਹਣ ਦੇ ਯੋਗ ਸੀ "taskhost.exe".

ਚੌਲ. 31: ਇੱਕ ਪ੍ਰਕਿਰਿਆ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ ਇੱਕ ਪ੍ਰਕਿਰਿਆ ਨੂੰ ਗਤੀਸ਼ੀਲ ਰੂਪ ਵਿੱਚ ਚਲਾਓ

ਅਸੀਂ ਦੇਖ ਸਕਦੇ ਹਾਂ ਕਿ ਇਹ ਬਾਅਦ ਵਿੱਚ ਪ੍ਰਕਿਰਿਆ ਟੋਕਨ ਜਾਣਕਾਰੀ ਨੂੰ ਪੜ੍ਹਦਾ ਹੈ, ਇਸਲਈ ਇਹ ਕਾਲ ਕਰਦਾ ਹੈ OpenProcessToken ਪੈਰਾਮੀਟਰ ਨਾਲ "20008"

ਚੌਲ. 32: ਪ੍ਰਕਿਰਿਆ ਟੋਕਨ ਜਾਣਕਾਰੀ ਪੜ੍ਹੋ

ਇਹ ਇਹ ਵੀ ਜਾਂਚ ਕਰਦਾ ਹੈ ਕਿ ਜਿਸ ਪ੍ਰਕਿਰਿਆ ਵਿੱਚ ਇਸਨੂੰ ਟੀਕਾ ਲਗਾਇਆ ਜਾਵੇਗਾ ਉਹ ਨਹੀਂ ਹੈ csrss.exe, explorer.exe, lsaas.exe ਜਾਂ ਕਿ ਉਸ ਕੋਲ ਅਧਿਕਾਰਾਂ ਦਾ ਇੱਕ ਸਮੂਹ ਹੈ NT ਅਥਾਰਟੀ.

ਚੌਲ. 33: ਬਾਹਰ ਕੀਤੀਆਂ ਪ੍ਰਕਿਰਿਆਵਾਂ

ਅਸੀਂ ਗਤੀਸ਼ੀਲ ਤੌਰ 'ਤੇ ਦੇਖ ਸਕਦੇ ਹਾਂ ਕਿ ਇਹ ਪਹਿਲਾਂ ਪ੍ਰਕਿਰਿਆ ਟੋਕਨ ਜਾਣਕਾਰੀ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਜਾਂਚ ਕਿਵੇਂ ਕਰਦਾ ਹੈ 140002D9C ਇਹ ਪਤਾ ਲਗਾਉਣ ਲਈ ਕਿ ਕੀ ਉਹ ਖਾਤਾ ਹੈ ਜਿਸ ਦੇ ਅਧਿਕਾਰ ਕਿਸੇ ਪ੍ਰਕਿਰਿਆ ਨੂੰ ਚਲਾਉਣ ਲਈ ਵਰਤੇ ਜਾ ਰਹੇ ਹਨ ਐਨਟੀ ਅਥਾਰਟੀ.

ਚੌਲ. 34: NT ਅਥਾਰਟੀ ਦੀ ਜਾਂਚ

ਅਤੇ ਬਾਅਦ ਵਿੱਚ, ਪ੍ਰਕਿਰਿਆ ਤੋਂ ਬਾਹਰ, ਉਹ ਜਾਂਚ ਕਰਦਾ ਹੈ ਕਿ ਇਹ ਨਹੀਂ ਹੈ csrss.exe, explorer.exe ਜ lsaas.exe.

ਚੌਲ. 35: NT ਅਥਾਰਟੀ ਦੀ ਜਾਂਚ

ਇੱਕ ਵਾਰ ਜਦੋਂ ਉਸਨੇ ਪ੍ਰਕਿਰਿਆਵਾਂ ਦਾ ਇੱਕ ਸਨੈਪਸ਼ਾਟ ਲਿਆ, ਪ੍ਰਕਿਰਿਆਵਾਂ ਨੂੰ ਖੋਲ੍ਹਿਆ, ਅਤੇ ਪੁਸ਼ਟੀ ਕੀਤੀ ਕਿ ਉਹਨਾਂ ਵਿੱਚੋਂ ਕਿਸੇ ਨੂੰ ਵੀ ਬਾਹਰ ਨਹੀਂ ਰੱਖਿਆ ਗਿਆ ਹੈ, ਤਾਂ ਉਹ ਉਹਨਾਂ ਪ੍ਰਕਿਰਿਆਵਾਂ ਨੂੰ ਯਾਦ ਕਰਨ ਲਈ ਤਿਆਰ ਹੈ ਜੋ ਇੰਜੈਕਟ ਕੀਤੀਆਂ ਜਾਣਗੀਆਂ।

ਅਜਿਹਾ ਕਰਨ ਲਈ, ਇਹ ਪਹਿਲਾਂ ਮੈਮੋਰੀ ਵਿੱਚ ਇੱਕ ਖੇਤਰ ਰਾਖਵਾਂ ਕਰਦਾ ਹੈ (VirtualAllocEx), ਇਸ ਵਿੱਚ ਲਿਖਦਾ ਹੈ (WriteProcessmemory) ਅਤੇ ਇੱਕ ਧਾਗਾ ਬਣਾਉਂਦਾ ਹੈ (ਰਿਮੋਟ ਥ੍ਰੈਡ ਬਣਾਓ). ਇਹਨਾਂ ਫੰਕਸ਼ਨਾਂ ਨਾਲ ਕੰਮ ਕਰਨ ਲਈ, ਇਹ ਚੁਣੀਆਂ ਗਈਆਂ ਪ੍ਰਕਿਰਿਆਵਾਂ ਦੇ PIDs ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ, ਜੋ ਇਸਨੇ ਪਹਿਲਾਂ ਵਰਤ ਕੇ ਪ੍ਰਾਪਤ ਕੀਤਾ ਸੀ CreateToolhelp32Snapshot.

ਚੌਲ. 36: ਏਮਬੇਡ ਕੋਡ

ਇੱਥੇ ਅਸੀਂ ਗਤੀਸ਼ੀਲ ਤੌਰ 'ਤੇ ਦੇਖ ਸਕਦੇ ਹਾਂ ਕਿ ਇਹ ਫੰਕਸ਼ਨ ਨੂੰ ਕਾਲ ਕਰਨ ਲਈ ਪ੍ਰਕਿਰਿਆ PID ਦੀ ਵਰਤੋਂ ਕਿਵੇਂ ਕਰਦਾ ਹੈ VirtualAllocEx.

ਚੌਲ. 37: VirtualAllocEx ਨੂੰ ਕਾਲ ਕਰੋ

5.4 ਐਨਕ੍ਰਿਪਸ਼ਨ
ਇਸ ਭਾਗ ਵਿੱਚ, ਅਸੀਂ ਇਸ ਨਮੂਨੇ ਦੇ ਏਨਕ੍ਰਿਪਸ਼ਨ ਹਿੱਸੇ ਨੂੰ ਦੇਖਾਂਗੇ। ਹੇਠਾਂ ਦਿੱਤੀ ਤਸਵੀਰ ਵਿੱਚ ਤੁਸੀਂ ਦੋ ਸਬਰੂਟੀਨ ਦੇਖ ਸਕਦੇ ਹੋ ਜਿਸਨੂੰ "LoadLibrary_EncodeString"ਅਤੇ"Encode_Func", ਜੋ ਏਨਕ੍ਰਿਪਸ਼ਨ ਪ੍ਰਕਿਰਿਆ ਨੂੰ ਕਰਨ ਲਈ ਜ਼ਿੰਮੇਵਾਰ ਹਨ।

ਚੌਲ. 38: ਏਨਕ੍ਰਿਪਸ਼ਨ ਪ੍ਰਕਿਰਿਆਵਾਂ

ਸ਼ੁਰੂ ਵਿੱਚ ਅਸੀਂ ਦੇਖ ਸਕਦੇ ਹਾਂ ਕਿ ਇਹ ਇੱਕ ਸਤਰ ਨੂੰ ਕਿਵੇਂ ਲੋਡ ਕਰਦਾ ਹੈ ਜੋ ਬਾਅਦ ਵਿੱਚ ਲੋੜੀਂਦੀ ਹਰ ਚੀਜ਼ ਨੂੰ ਡੀਓਬਸਕੇਟ ਕਰਨ ਲਈ ਵਰਤਿਆ ਜਾਵੇਗਾ: ਆਯਾਤ, DLLs, ਕਮਾਂਡਾਂ, ਫਾਈਲਾਂ ਅਤੇ CSPs।

ਚੌਲ. 39: ਡੀਓਬਫਸਕੇਸ਼ਨ ਸਰਕਟ

ਨਿਮਨਲਿਖਤ ਚਿੱਤਰ ਰਜਿਸਟਰ R4 ਵਿੱਚ ਪਹਿਲੇ ਆਯਾਤ ਨੂੰ ਦਰਸਾਉਂਦਾ ਹੈ। ਲੋਡ ਲਾਈਬਰੇਰੀ. ਇਸਦੀ ਵਰਤੋਂ ਬਾਅਦ ਵਿੱਚ ਲੋੜੀਂਦੇ DLL ਲੋਡ ਕਰਨ ਲਈ ਕੀਤੀ ਜਾਵੇਗੀ। ਅਸੀਂ ਰਜਿਸਟਰ R12 ਵਿੱਚ ਇੱਕ ਹੋਰ ਲਾਈਨ ਵੀ ਦੇਖ ਸਕਦੇ ਹਾਂ, ਜੋ ਕਿ ਡੀਓਬਫਸਕੇਸ਼ਨ ਕਰਨ ਲਈ ਪਿਛਲੀ ਲਾਈਨ ਦੇ ਨਾਲ ਵਰਤੀ ਜਾਂਦੀ ਹੈ।

ਚੌਲ. 40: ਡਾਇਨਾਮਿਕ ਡੀਓਬਸਕੇਸ਼ਨ

ਇਹ ਉਹਨਾਂ ਕਮਾਂਡਾਂ ਨੂੰ ਡਾਊਨਲੋਡ ਕਰਨਾ ਜਾਰੀ ਰੱਖਦਾ ਹੈ ਜੋ ਬਾਅਦ ਵਿੱਚ ਬੈਕਅਪ ਨੂੰ ਅਸਮਰੱਥ ਬਣਾਉਣ, ਪੁਆਇੰਟਾਂ ਨੂੰ ਰੀਸਟੋਰ ਕਰਨ, ਅਤੇ ਸੁਰੱਖਿਅਤ ਬੂਟ ਮੋਡਾਂ ਲਈ ਚੱਲੇਗਾ।

ਚੌਲ. 41: ਕਮਾਂਡਾਂ ਲੋਡ ਕੀਤੀਆਂ ਜਾ ਰਹੀਆਂ ਹਨ

ਫਿਰ ਇਹ ਉਸ ਸਥਾਨ ਨੂੰ ਲੋਡ ਕਰਦਾ ਹੈ ਜਿੱਥੇ ਇਹ 3 ਫਾਈਲਾਂ ਛੱਡੇਗਾ: Windows.bat, run.sct и start.bat.

ਚੌਲ. 42: ਫਾਈਲ ਟਿਕਾਣੇ

ਇਹ 3 ਫਾਈਲਾਂ ਉਹਨਾਂ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰਾਂ ਦੀ ਜਾਂਚ ਕਰਨ ਲਈ ਵਰਤੀਆਂ ਜਾਂਦੀਆਂ ਹਨ ਜੋ ਹਰੇਕ ਟਿਕਾਣੇ ਕੋਲ ਹਨ। ਜੇ ਲੋੜੀਂਦੇ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰ ਉਪਲਬਧ ਨਹੀਂ ਹਨ, ਤਾਂ Ryuk ਅਮਲ ਨੂੰ ਰੋਕ ਦਿੰਦਾ ਹੈ।

ਇਹ ਤਿੰਨ ਫਾਈਲਾਂ ਨਾਲ ਸੰਬੰਧਿਤ ਲਾਈਨਾਂ ਨੂੰ ਲੋਡ ਕਰਨਾ ਜਾਰੀ ਰੱਖਦਾ ਹੈ. ਪਹਿਲਾਂ, DECRYPT_INFORMATION.html, ਫਾਈਲਾਂ ਨੂੰ ਮੁੜ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ ਜ਼ਰੂਰੀ ਜਾਣਕਾਰੀ ਰੱਖਦਾ ਹੈ। ਦੂਜਾ, ਪਬਲਿਕ, ਵਿੱਚ RSA ਜਨਤਕ ਕੁੰਜੀ ਸ਼ਾਮਲ ਹੈ।

ਚੌਲ. 43: ਲਾਈਨ DECRYPT INFORMATION.html

ਤੀਜਾ, UNIQUE_ID_DO_NOT_REMOVE, ਵਿੱਚ ਏਨਕ੍ਰਿਪਟਡ ਕੁੰਜੀ ਸ਼ਾਮਲ ਹੈ ਜੋ ਏਨਕ੍ਰਿਪਸ਼ਨ ਕਰਨ ਲਈ ਅਗਲੀ ਰੁਟੀਨ ਵਿੱਚ ਵਰਤੀ ਜਾਵੇਗੀ।

ਚੌਲ. 44: ਲਾਈਨ ਯੂਨੀਕ ਆਈਡੀ ਨੂੰ ਨਾ ਹਟਾਓ

ਅੰਤ ਵਿੱਚ, ਇਹ ਲੋੜੀਂਦੇ ਆਯਾਤ ਅਤੇ CSP ਦੇ ਨਾਲ ਲੋੜੀਂਦੀਆਂ ਲਾਇਬ੍ਰੇਰੀਆਂ ਨੂੰ ਡਾਊਨਲੋਡ ਕਰਦਾ ਹੈ (ਮਾਈਕ੍ਰੋਸਾੱਫਟ ਐਨਹਾਂਸਡ RSA и AES ਕ੍ਰਿਪਟੋਗ੍ਰਾਫਿਕ ਪ੍ਰਦਾਤਾ).

ਚੌਲ. 45: ਲਾਇਬ੍ਰੇਰੀਆਂ ਨੂੰ ਲੋਡ ਕੀਤਾ ਜਾ ਰਿਹਾ ਹੈ

ਸਾਰੀਆਂ ਡੀਓਬਸਕੇਸ਼ਨ ਪੂਰੀ ਹੋਣ ਤੋਂ ਬਾਅਦ, ਇਹ ਏਨਕ੍ਰਿਪਸ਼ਨ ਲਈ ਲੋੜੀਂਦੀਆਂ ਕਾਰਵਾਈਆਂ ਕਰਨ ਲਈ ਅੱਗੇ ਵਧਦਾ ਹੈ: ਸਾਰੀਆਂ ਲਾਜ਼ੀਕਲ ਡਰਾਈਵਾਂ ਦੀ ਗਣਨਾ ਕਰਨਾ, ਪਿਛਲੀ ਰੁਟੀਨ ਵਿੱਚ ਲੋਡ ਕੀਤੇ ਗਏ ਨੂੰ ਚਲਾਉਣਾ, ਸਿਸਟਮ ਵਿੱਚ ਮੌਜੂਦਗੀ ਨੂੰ ਮਜ਼ਬੂਤ ​​ਕਰਨਾ, RyukReadMe.html ਫਾਈਲ ਨੂੰ ਸੁੱਟਣਾ, ਏਨਕ੍ਰਿਪਸ਼ਨ, ਸਾਰੀਆਂ ਨੈੱਟਵਰਕ ਡਰਾਈਵਾਂ ਦੀ ਗਿਣਤੀ ਕਰਨਾ। , ਖੋਜੇ ਗਏ ਯੰਤਰਾਂ ਅਤੇ ਉਹਨਾਂ ਦੀ ਇਨਕ੍ਰਿਪਸ਼ਨ ਵਿੱਚ ਤਬਦੀਲੀ।
ਇਹ ਸਭ ਲੋਡਿੰਗ ਨਾਲ ਸ਼ੁਰੂ ਹੁੰਦਾ ਹੈ"cmd.exeਅਤੇ RSA ਜਨਤਕ ਕੁੰਜੀ ਰਿਕਾਰਡ।

ਚੌਲ. 46: ਏਨਕ੍ਰਿਪਸ਼ਨ ਲਈ ਤਿਆਰੀ

ਫਿਰ ਇਹ ਵਰਤ ਕੇ ਸਾਰੀਆਂ ਲਾਜ਼ੀਕਲ ਡਰਾਈਵਾਂ ਪ੍ਰਾਪਤ ਕਰਦਾ ਹੈ GetLogicalDrives ਅਤੇ ਸਾਰੇ ਬੈਕਅੱਪ, ਰੀਸਟੋਰ ਪੁਆਇੰਟ ਅਤੇ ਸੁਰੱਖਿਅਤ ਬੂਟ ਮੋਡਾਂ ਨੂੰ ਅਸਮਰੱਥ ਬਣਾਉਂਦਾ ਹੈ।

ਚੌਲ. 47: ਰਿਕਵਰੀ ਟੂਲਸ ਨੂੰ ਅਕਿਰਿਆਸ਼ੀਲ ਕਰਨਾ

ਉਸ ਤੋਂ ਬਾਅਦ, ਇਹ ਸਿਸਟਮ ਵਿੱਚ ਆਪਣੀ ਮੌਜੂਦਗੀ ਨੂੰ ਮਜ਼ਬੂਤ ​​​​ਕਰਦਾ ਹੈ, ਜਿਵੇਂ ਕਿ ਅਸੀਂ ਉੱਪਰ ਦੇਖਿਆ ਹੈ, ਅਤੇ ਪਹਿਲੀ ਫਾਈਲ ਲਿਖਦਾ ਹੈ RyukReadMe.html в ਟੇਮਪ.

ਚੌਲ. 48: ਰਿਹਾਈ ਦੀ ਕੀਮਤ ਦਾ ਨੋਟਿਸ ਪ੍ਰਕਾਸ਼ਿਤ ਕਰਨਾ

ਹੇਠਾਂ ਦਿੱਤੀ ਤਸਵੀਰ ਵਿੱਚ ਤੁਸੀਂ ਦੇਖ ਸਕਦੇ ਹੋ ਕਿ ਇਹ ਇੱਕ ਫਾਈਲ ਕਿਵੇਂ ਬਣਾਉਂਦਾ ਹੈ, ਸਮੱਗਰੀ ਨੂੰ ਡਾਊਨਲੋਡ ਕਰਦਾ ਹੈ ਅਤੇ ਇਸਨੂੰ ਲਿਖਦਾ ਹੈ:

ਚੌਲ. 49: ਫਾਈਲ ਸਮੱਗਰੀ ਨੂੰ ਲੋਡ ਕਰਨਾ ਅਤੇ ਲਿਖਣਾ

ਸਾਰੀਆਂ ਡਿਵਾਈਸਾਂ 'ਤੇ ਇੱਕੋ ਜਿਹੀਆਂ ਕਾਰਵਾਈਆਂ ਕਰਨ ਦੇ ਯੋਗ ਹੋਣ ਲਈ, ਉਹ ਵਰਤਦਾ ਹੈ
"icacls.exe", ਜਿਵੇਂ ਕਿ ਅਸੀਂ ਉੱਪਰ ਦਿਖਾਇਆ ਹੈ।

ਚੌਲ. 50: icalcls.exe ਦੀ ਵਰਤੋਂ ਕਰਨਾ

ਅਤੇ ਅੰਤ ਵਿੱਚ, ਇਹ “*.exe”, “*.dll” ਫਾਈਲਾਂ, ਸਿਸਟਮ ਫਾਈਲਾਂ ਅਤੇ ਇੱਕ ਐਨਕ੍ਰਿਪਟਡ ਵ੍ਹਾਈਟ ਲਿਸਟ ਦੇ ਰੂਪ ਵਿੱਚ ਨਿਰਧਾਰਤ ਹੋਰ ਸਥਾਨਾਂ ਨੂੰ ਛੱਡ ਕੇ ਫਾਈਲਾਂ ਨੂੰ ਐਨਕ੍ਰਿਪਟ ਕਰਨਾ ਸ਼ੁਰੂ ਕਰਦਾ ਹੈ। ਅਜਿਹਾ ਕਰਨ ਲਈ, ਇਹ ਆਯਾਤ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ: CryptAcquireContextW (ਜਿੱਥੇ AES ਅਤੇ RSA ਦੀ ਵਰਤੋਂ ਨਿਰਧਾਰਤ ਕੀਤੀ ਗਈ ਹੈ), CryptDeriveKey, CryptGenKey, CryptDestroyKey ਆਦਿ ਇਹ WNetEnumResourceW ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਖੋਜੇ ਗਏ ਨੈਟਵਰਕ ਡਿਵਾਈਸਾਂ ਤੱਕ ਆਪਣੀ ਪਹੁੰਚ ਨੂੰ ਵਧਾਉਣ ਦੀ ਕੋਸ਼ਿਸ਼ ਵੀ ਕਰਦਾ ਹੈ ਅਤੇ ਫਿਰ ਉਹਨਾਂ ਨੂੰ ਐਨਕ੍ਰਿਪਟ ਕਰਦਾ ਹੈ।

ਚੌਲ. 51: ਸਿਸਟਮ ਫਾਈਲਾਂ ਨੂੰ ਐਨਕ੍ਰਿਪਟ ਕਰਨਾ

6. ਆਯਾਤ ਅਤੇ ਅਨੁਸਾਰੀ ਝੰਡੇ

ਹੇਠਾਂ ਇੱਕ ਸਾਰਣੀ ਹੈ ਜੋ ਨਮੂਨੇ ਦੁਆਰਾ ਵਰਤੇ ਗਏ ਸਭ ਤੋਂ ਢੁਕਵੇਂ ਆਯਾਤ ਅਤੇ ਫਲੈਗਾਂ ਨੂੰ ਸੂਚੀਬੱਧ ਕਰਦੀ ਹੈ:

7. ਆਈ.ਓ.ਸੀ

ਹਵਾਲੇ

• userPublicrun.sct
• Start MenuProgramsStartupstart.bat AppDataRoamingMicrosoftWindowsStart
• MenuProgramsStartupstart.bat

Ryuk ransomware 'ਤੇ ਇੱਕ ਤਕਨੀਕੀ ਰਿਪੋਰਟ ਐਂਟੀਵਾਇਰਸ ਲੈਬਾਰਟਰੀ PandaLabs ਦੇ ਮਾਹਰਾਂ ਦੁਆਰਾ ਤਿਆਰ ਕੀਤੀ ਗਈ ਸੀ।

8. ਲਿੰਕ

1. "ਏਵਰਿਸ ਵਾਈ ਪ੍ਰਿਸਾ ਰੇਡੀਓ ਸੁਫਰੇਨ ਅਨ ਗਰੇਵ ਸਿਬਰਟਾਕ ਕਿਉ ਸੇਕਿਊਸਟ੍ਰਾ ਸੁਸ ਸਿਸਟਮਸ।" https://www. elconfidencial.com/tecnologia/2019-11-04/everis-la-ser-ciberataque-ransomware-15_2312019/, Publicada el 04/11/2019।

2. “Un virus de origen ruso ataca a importantes empresas españolas.” https://elpais.com/tecnologia/2019/11/04/actualidad/1572897654_ 251312.html, Publicada el 04/11/2019.

3. “VB2019 ਪੇਪਰ: ਸ਼ਿਨਿਗਾਮੀ ਦਾ ਬਦਲਾ: Ryuk ਮਾਲਵੇਅਰ ਦੀ ਲੰਬੀ ਪੂਛ।” https://securelist.com/story-of-the-year-2019-cities-under-ransomware-siege/95456/, Publicada el 11 /12/2019

4. “ਰਯੂਕ ਨਾਲ ਵੱਡੀ ਗੇਮ ਸ਼ਿਕਾਰ: ਇਕ ਹੋਰ ਸ਼ਾਨਦਾਰ ਟਾਰਗੇਟਿਡ ਰੈਨਸਮਵੇਅਰ।”https://www. crowdstrike.com/blog/big-game-hunting-with-ryuk-another-lucrative-targeted-ransomware/, ਪ੍ਰਕਾਸ਼ਿਤ 10/01/2019।

5. “VB2019 ਪੇਪਰ: ਸ਼ਿਨਿਗਾਮੀ ਦਾ ਬਦਲਾ: Ryuk ਮਾਲਵੇਅਰ ਦੀ ਲੰਬੀ ਪੂਛ।” https://www. virusbulletin.com/virusbulletin/2019/10/ vb2019-paper-shinigamis-revenge-long-tail-r

ਸਰੋਤ: www.habr.com