ਪ੍ਰੋਲੌਕ ਖੋਲ੍ਹਣਾ: MITER ATT&CK ਮੈਟ੍ਰਿਕਸ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਨਵੇਂ ਰੈਨਸਮਵੇਅਰ ਦੇ ਆਪਰੇਟਰਾਂ ਦੀਆਂ ਕਾਰਵਾਈਆਂ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ

ਦੁਨੀਆ ਭਰ ਦੇ ਸੰਗਠਨਾਂ 'ਤੇ ਰੈਨਸਮਵੇਅਰ ਹਮਲਿਆਂ ਦੀ ਸਫਲਤਾ ਵੱਧ ਤੋਂ ਵੱਧ ਨਵੇਂ ਹਮਲਾਵਰਾਂ ਨੂੰ ਗੇਮ ਵਿੱਚ ਆਉਣ ਲਈ ਪ੍ਰੇਰਿਤ ਕਰ ਰਹੀ ਹੈ। ਇਹਨਾਂ ਨਵੇਂ ਖਿਡਾਰੀਆਂ ਵਿੱਚੋਂ ਇੱਕ ਪ੍ਰੋਲੌਕ ਰੈਨਸਮਵੇਅਰ ਦੀ ਵਰਤੋਂ ਕਰਨ ਵਾਲਾ ਇੱਕ ਸਮੂਹ ਹੈ। ਇਹ ਮਾਰਚ 2020 ਵਿੱਚ PwndLocker ਪ੍ਰੋਗਰਾਮ ਦੇ ਉੱਤਰਾਧਿਕਾਰੀ ਵਜੋਂ ਪ੍ਰਗਟ ਹੋਇਆ ਸੀ, ਜਿਸ ਨੇ 2019 ਦੇ ਅੰਤ ਵਿੱਚ ਕੰਮ ਕਰਨਾ ਸ਼ੁਰੂ ਕੀਤਾ ਸੀ। ProLock ਰੈਨਸਮਵੇਅਰ ਹਮਲੇ ਮੁੱਖ ਤੌਰ 'ਤੇ ਵਿੱਤੀ ਅਤੇ ਸਿਹਤ ਸੰਭਾਲ ਸੰਸਥਾਵਾਂ, ਸਰਕਾਰੀ ਏਜੰਸੀਆਂ ਅਤੇ ਪ੍ਰਚੂਨ ਖੇਤਰ ਨੂੰ ਨਿਸ਼ਾਨਾ ਬਣਾਉਂਦੇ ਹਨ। ਹਾਲ ਹੀ ਵਿੱਚ, ProLock ਆਪਰੇਟਰਾਂ ਨੇ ਸਭ ਤੋਂ ਵੱਡੇ ATM ਨਿਰਮਾਤਾਵਾਂ ਵਿੱਚੋਂ ਇੱਕ, Diebold Nixdorf ਉੱਤੇ ਸਫਲਤਾਪੂਰਵਕ ਹਮਲਾ ਕੀਤਾ।

ਇਸ ਪੋਸਟ ਵਿੱਚ ਓਲੇਗ ਸਕੁਲਕਿਨ, ਗਰੁੱਪ-ਆਈਬੀ ਦੀ ਕੰਪਿਊਟਰ ਫੋਰੈਂਸਿਕ ਲੈਬਾਰਟਰੀ ਦੇ ਪ੍ਰਮੁੱਖ ਮਾਹਿਰ, ProLock ਆਪਰੇਟਰਾਂ ਦੁਆਰਾ ਵਰਤੀਆਂ ਜਾਂਦੀਆਂ ਬੁਨਿਆਦੀ ਰਣਨੀਤੀਆਂ, ਤਕਨੀਕਾਂ ਅਤੇ ਪ੍ਰਕਿਰਿਆਵਾਂ (TTPs) ਨੂੰ ਕਵਰ ਕਰਦਾ ਹੈ। ਲੇਖ MITER ATT&CK ਮੈਟ੍ਰਿਕਸ, ਇੱਕ ਜਨਤਕ ਡੇਟਾਬੇਸ ਦੀ ਤੁਲਨਾ ਨਾਲ ਸਮਾਪਤ ਹੁੰਦਾ ਹੈ ਜੋ ਵੱਖ-ਵੱਖ ਸਾਈਬਰ ਅਪਰਾਧੀ ਸਮੂਹਾਂ ਦੁਆਰਾ ਵਰਤੇ ਜਾਂਦੇ ਨਿਸ਼ਾਨਾ ਹਮਲੇ ਦੀਆਂ ਰਣਨੀਤੀਆਂ ਨੂੰ ਸੰਕਲਿਤ ਕਰਦਾ ਹੈ।

ਸ਼ੁਰੂਆਤੀ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕੀਤੀ ਜਾ ਰਹੀ ਹੈ

ProLock ਆਪਰੇਟਰ ਪ੍ਰਾਇਮਰੀ ਸਮਝੌਤਾ ਦੇ ਦੋ ਮੁੱਖ ਵੈਕਟਰਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ: ਕਕਬੋਟ (Qbot) ਟਰੋਜਨ ਅਤੇ ਕਮਜ਼ੋਰ ਪਾਸਵਰਡਾਂ ਵਾਲੇ ਅਸੁਰੱਖਿਅਤ RDP ਸਰਵਰ।

ਇੱਕ ਬਾਹਰੀ ਪਹੁੰਚਯੋਗ RDP ਸਰਵਰ ਦੁਆਰਾ ਸਮਝੌਤਾ ਰੈਨਸਮਵੇਅਰ ਆਪਰੇਟਰਾਂ ਵਿੱਚ ਬਹੁਤ ਮਸ਼ਹੂਰ ਹੈ। ਆਮ ਤੌਰ 'ਤੇ, ਹਮਲਾਵਰ ਤੀਜੀ ਧਿਰਾਂ ਤੋਂ ਸਮਝੌਤਾ ਕੀਤੇ ਸਰਵਰ ਤੱਕ ਪਹੁੰਚ ਖਰੀਦਦੇ ਹਨ, ਪਰ ਇਹ ਸਮੂਹ ਮੈਂਬਰਾਂ ਦੁਆਰਾ ਆਪਣੇ ਆਪ ਵੀ ਪ੍ਰਾਪਤ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ।

ਪ੍ਰਾਇਮਰੀ ਸਮਝੌਤਾ ਦਾ ਇੱਕ ਹੋਰ ਦਿਲਚਸਪ ਵੈਕਟਰ ਕਕਬੋਟ ਮਾਲਵੇਅਰ ਹੈ। ਪਹਿਲਾਂ, ਇਹ ਟਰੋਜਨ ransomware ਦੇ ਇੱਕ ਹੋਰ ਪਰਿਵਾਰ ਨਾਲ ਜੁੜਿਆ ਹੋਇਆ ਸੀ - MegaCortex. ਹਾਲਾਂਕਿ, ਇਹ ਹੁਣ ਪ੍ਰੋਲਾਕ ਓਪਰੇਟਰਾਂ ਦੁਆਰਾ ਵਰਤੀ ਜਾਂਦੀ ਹੈ।

ਆਮ ਤੌਰ 'ਤੇ, ਕਾਕਬੋਟ ਨੂੰ ਫਿਸ਼ਿੰਗ ਮੁਹਿੰਮਾਂ ਰਾਹੀਂ ਵੰਡਿਆ ਜਾਂਦਾ ਹੈ। ਇੱਕ ਫਿਸ਼ਿੰਗ ਈਮੇਲ ਵਿੱਚ ਇੱਕ ਨੱਥੀ Microsoft Office ਦਸਤਾਵੇਜ਼ ਜਾਂ ਕਲਾਉਡ ਸਟੋਰੇਜ ਸੇਵਾ ਵਿੱਚ ਸਥਿਤ ਇੱਕ ਫਾਈਲ ਦਾ ਲਿੰਕ ਹੋ ਸਕਦਾ ਹੈ, ਜਿਵੇਂ ਕਿ Microsoft OneDrive।

ਕਕਬੋਟ ਦੇ ਇੱਕ ਹੋਰ ਟਰੋਜਨ, ਇਮੋਟੈਟ ਨਾਲ ਲੋਡ ਕੀਤੇ ਜਾਣ ਦੇ ਵੀ ਜਾਣੇ-ਪਛਾਣੇ ਮਾਮਲੇ ਹਨ, ਜੋ ਕਿ Ryuk ਰੈਨਸਮਵੇਅਰ ਨੂੰ ਵੰਡਣ ਵਾਲੀਆਂ ਮੁਹਿੰਮਾਂ ਵਿੱਚ ਆਪਣੀ ਭਾਗੀਦਾਰੀ ਲਈ ਵਿਆਪਕ ਤੌਰ 'ਤੇ ਜਾਣਿਆ ਜਾਂਦਾ ਹੈ।

ਪੂਰਨਤਾ

ਇੱਕ ਲਾਗ ਵਾਲੇ ਦਸਤਾਵੇਜ਼ ਨੂੰ ਡਾਊਨਲੋਡ ਕਰਨ ਅਤੇ ਖੋਲ੍ਹਣ ਤੋਂ ਬਾਅਦ, ਉਪਭੋਗਤਾ ਨੂੰ ਮੈਕਰੋ ਨੂੰ ਚਲਾਉਣ ਦੀ ਆਗਿਆ ਦੇਣ ਲਈ ਕਿਹਾ ਜਾਂਦਾ ਹੈ। ਜੇਕਰ ਸਫਲ ਹੁੰਦਾ ਹੈ, ਤਾਂ PowerShell ਨੂੰ ਲਾਂਚ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਜੋ ਤੁਹਾਨੂੰ ਕਮਾਂਡ ਅਤੇ ਕੰਟਰੋਲ ਸਰਵਰ ਤੋਂ QakBot ਪੇਲੋਡ ਨੂੰ ਡਾਊਨਲੋਡ ਕਰਨ ਅਤੇ ਚਲਾਉਣ ਦੀ ਇਜਾਜ਼ਤ ਦੇਵੇਗਾ।

ਇਹ ਨੋਟ ਕਰਨਾ ਮਹੱਤਵਪੂਰਨ ਹੈ ਕਿ ਇਹੀ ProLock 'ਤੇ ਲਾਗੂ ਹੁੰਦਾ ਹੈ: ਪੇਲੋਡ ਫਾਈਲ ਤੋਂ ਕੱਢਿਆ ਜਾਂਦਾ ਹੈ BMP ਜ JPG ਅਤੇ PowerShell ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਮੈਮੋਰੀ ਵਿੱਚ ਲੋਡ ਕੀਤਾ ਜਾਂਦਾ ਹੈ। ਕੁਝ ਮਾਮਲਿਆਂ ਵਿੱਚ, ਇੱਕ ਨਿਯਤ ਕਾਰਜ PowerShell ਨੂੰ ਸ਼ੁਰੂ ਕਰਨ ਲਈ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ।

ਬੈਚ ਸਕ੍ਰਿਪਟ ਟਾਸਕ ਸ਼ਡਿਊਲਰ ਦੁਆਰਾ ProLock ਚੱਲ ਰਹੀ ਹੈ:

schtasks.exe /CREATE /XML C:ProgramdataWinMgr.xml /tn WinMgr
schtasks.exe /RUN /tn WinMgr
del C:ProgramdataWinMgr.xml
del C:Programdatarun.bat

ਸਿਸਟਮ ਵਿੱਚ ਇਕਸਾਰਤਾ

ਜੇਕਰ RDP ਸਰਵਰ ਨਾਲ ਸਮਝੌਤਾ ਕਰਨਾ ਅਤੇ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕਰਨਾ ਸੰਭਵ ਹੈ, ਤਾਂ ਵੈਧ ਖਾਤਿਆਂ ਦੀ ਵਰਤੋਂ ਨੈੱਟਵਰਕ ਤੱਕ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। ਕਾਕਬੋਟ ਨੂੰ ਕਈ ਤਰ੍ਹਾਂ ਦੀਆਂ ਅਟੈਚਮੈਂਟ ਵਿਧੀਆਂ ਦੁਆਰਾ ਦਰਸਾਇਆ ਗਿਆ ਹੈ। ਬਹੁਤੇ ਅਕਸਰ, ਇਹ ਟਰੋਜਨ ਰਨ ਰਜਿਸਟਰੀ ਕੁੰਜੀ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ ਅਤੇ ਸ਼ਡਿਊਲਰ ਵਿੱਚ ਕੰਮ ਬਣਾਉਂਦਾ ਹੈ:

ਰਨ ਰਜਿਸਟਰੀ ਕੁੰਜੀ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਕਾਕਬੋਟ ਨੂੰ ਸਿਸਟਮ ਵਿੱਚ ਪਿੰਨ ਕਰਨਾ

ਕੁਝ ਮਾਮਲਿਆਂ ਵਿੱਚ, ਸਟਾਰਟਅੱਪ ਫੋਲਡਰ ਵੀ ਵਰਤੇ ਜਾਂਦੇ ਹਨ: ਇੱਕ ਸ਼ਾਰਟਕੱਟ ਉੱਥੇ ਰੱਖਿਆ ਗਿਆ ਹੈ ਜੋ ਬੂਟਲੋਡਰ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦਾ ਹੈ।

ਬਾਈਪਾਸ ਸੁਰੱਖਿਆ

ਕਮਾਂਡ ਅਤੇ ਕੰਟਰੋਲ ਸਰਵਰ ਨਾਲ ਸੰਚਾਰ ਕਰਕੇ, ਕਕਬੋਟ ਸਮੇਂ-ਸਮੇਂ 'ਤੇ ਆਪਣੇ ਆਪ ਨੂੰ ਅਪਡੇਟ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਦਾ ਹੈ, ਇਸਲਈ ਖੋਜ ਤੋਂ ਬਚਣ ਲਈ, ਮਾਲਵੇਅਰ ਆਪਣੇ ਮੌਜੂਦਾ ਸੰਸਕਰਣ ਨੂੰ ਇੱਕ ਨਵੇਂ ਨਾਲ ਬਦਲ ਸਕਦਾ ਹੈ। ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਫਾਈਲਾਂ ਨੂੰ ਸਮਝੌਤਾ ਕੀਤੇ ਜਾਂ ਜਾਅਲੀ ਦਸਤਖਤ ਨਾਲ ਹਸਤਾਖਰ ਕੀਤੇ ਜਾਂਦੇ ਹਨ। PowerShell ਦੁਆਰਾ ਲੋਡ ਕੀਤਾ ਗਿਆ ਸ਼ੁਰੂਆਤੀ ਪੇਲੋਡ ਐਕਸਟੈਂਸ਼ਨ ਦੇ ਨਾਲ C&C ਸਰਵਰ 'ਤੇ ਸਟੋਰ ਕੀਤਾ ਜਾਂਦਾ ਹੈ PNG. ਇਸ ਤੋਂ ਇਲਾਵਾ, ਚੱਲਣ ਤੋਂ ਬਾਅਦ ਇਸਨੂੰ ਇੱਕ ਜਾਇਜ਼ ਫਾਈਲ ਨਾਲ ਬਦਲ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ ਕੈਲਕ.ਐਕਸ.

ਨਾਲ ਹੀ, ਖਤਰਨਾਕ ਗਤੀਵਿਧੀ ਨੂੰ ਛੁਪਾਉਣ ਲਈ, ਕਾਕਬੋਟ ਕੋਡ ਨੂੰ ਪ੍ਰਕਿਰਿਆਵਾਂ ਵਿੱਚ ਇੰਜੈਕਟ ਕਰਨ ਦੀ ਤਕਨੀਕ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ explorer.exe.

ਜਿਵੇਂ ਦੱਸਿਆ ਗਿਆ ਹੈ, ਪ੍ਰੋਲੌਕ ਪੇਲੋਡ ਫਾਈਲ ਦੇ ਅੰਦਰ ਲੁਕਿਆ ਹੋਇਆ ਹੈ BMP ਜ JPG. ਇਸ ਨੂੰ ਬਾਈਪਾਸ ਸੁਰੱਖਿਆ ਦਾ ਇੱਕ ਤਰੀਕਾ ਵੀ ਮੰਨਿਆ ਜਾ ਸਕਦਾ ਹੈ।

ਪ੍ਰਮਾਣ ਪੱਤਰ ਪ੍ਰਾਪਤ ਕਰਨਾ

QakBot ਵਿੱਚ ਕੀਲੌਗਰ ਕਾਰਜਕੁਸ਼ਲਤਾ ਹੈ। ਇਸ ਤੋਂ ਇਲਾਵਾ, ਇਹ ਵਾਧੂ ਸਕ੍ਰਿਪਟਾਂ ਨੂੰ ਡਾਊਨਲੋਡ ਅਤੇ ਚਲਾ ਸਕਦਾ ਹੈ, ਉਦਾਹਰਨ ਲਈ, Invoke-Mimikatz, ਮਸ਼ਹੂਰ Mimikatz ਉਪਯੋਗਤਾ ਦਾ PowerShell ਸੰਸਕਰਣ। ਅਜਿਹੀਆਂ ਸਕ੍ਰਿਪਟਾਂ ਨੂੰ ਹਮਲਾਵਰਾਂ ਦੁਆਰਾ ਪ੍ਰਮਾਣ ਪੱਤਰਾਂ ਨੂੰ ਡੰਪ ਕਰਨ ਲਈ ਵਰਤਿਆ ਜਾ ਸਕਦਾ ਹੈ।

ਨੈੱਟਵਰਕ ਬੁੱਧੀ

ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰ ਪ੍ਰਾਪਤ ਖਾਤਿਆਂ ਤੱਕ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕਰਨ ਤੋਂ ਬਾਅਦ, ProLock ਆਪਰੇਟਰ ਨੈਟਵਰਕ ਖੋਜ ਕਰਦੇ ਹਨ, ਜਿਸ ਵਿੱਚ ਪੋਰਟ ਸਕੈਨਿੰਗ ਅਤੇ ਐਕਟਿਵ ਡਾਇਰੈਕਟਰੀ ਵਾਤਾਵਰਣ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਸ਼ਾਮਲ ਹੋ ਸਕਦਾ ਹੈ। ਕਈ ਸਕ੍ਰਿਪਟਾਂ ਤੋਂ ਇਲਾਵਾ, ਹਮਲਾਵਰ ਐਕਟਿਵ ਡਾਇਰੈਕਟਰੀ ਬਾਰੇ ਜਾਣਕਾਰੀ ਇਕੱਠੀ ਕਰਨ ਲਈ, ਰੈਨਸਮਵੇਅਰ ਸਮੂਹਾਂ ਵਿੱਚ ਪ੍ਰਸਿੱਧ ਇੱਕ ਹੋਰ ਟੂਲ, ਐਡਫਿੰਡ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ।

ਨੈੱਟਵਰਕ ਤਰੱਕੀ

ਰਵਾਇਤੀ ਤੌਰ 'ਤੇ, ਨੈੱਟਵਰਕ ਪ੍ਰੋਮੋਸ਼ਨ ਦੇ ਸਭ ਤੋਂ ਪ੍ਰਸਿੱਧ ਤਰੀਕਿਆਂ ਵਿੱਚੋਂ ਇੱਕ ਰਿਮੋਟ ਡੈਸਕਟਾਪ ਪ੍ਰੋਟੋਕੋਲ ਹੈ। ProLock ਕੋਈ ਅਪਵਾਦ ਨਹੀਂ ਸੀ. ਹਮਲਾਵਰਾਂ ਕੋਲ ਮੇਜ਼ਬਾਨਾਂ ਨੂੰ ਨਿਸ਼ਾਨਾ ਬਣਾਉਣ ਲਈ RDP ਰਾਹੀਂ ਰਿਮੋਟ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ ਆਪਣੇ ਹਥਿਆਰਾਂ ਵਿੱਚ ਸਕ੍ਰਿਪਟਾਂ ਵੀ ਹੁੰਦੀਆਂ ਹਨ।

RDP ਪ੍ਰੋਟੋਕੋਲ ਦੁਆਰਾ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ BAT ਸਕ੍ਰਿਪਟ:

reg add "HKLMSystemCurrentControlSetControlTerminal Server" /v "fDenyTSConnections" /t REG_DWORD /d 0 /f
netsh advfirewall firewall set rule group="Remote Desktop" new enable=yes
reg add "HKLMSystemCurrentControlSetControlTerminal ServerWinStationsRDP-Tcp" /v "UserAuthentication" /t REG_DWORD /d 0 /f

ਰਿਮੋਟਲੀ ਸਕ੍ਰਿਪਟਾਂ ਨੂੰ ਚਲਾਉਣ ਲਈ, ProLock ਓਪਰੇਟਰ ਇੱਕ ਹੋਰ ਪ੍ਰਸਿੱਧ ਟੂਲ, Sysinternals Suite ਤੋਂ PsExec ਉਪਯੋਗਤਾ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ।

ProLock WMIC ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਹੋਸਟਾਂ 'ਤੇ ਚੱਲਦਾ ਹੈ, ਜੋ ਕਿ ਵਿੰਡੋਜ਼ ਮੈਨੇਜਮੈਂਟ ਇੰਸਟਰੂਮੈਂਟੇਸ਼ਨ ਸਬਸਿਸਟਮ ਨਾਲ ਕੰਮ ਕਰਨ ਲਈ ਇੱਕ ਕਮਾਂਡ ਲਾਈਨ ਇੰਟਰਫੇਸ ਹੈ। ਇਹ ਟੂਲ ਰੈਨਸਮਵੇਅਰ ਆਪਰੇਟਰਾਂ ਵਿੱਚ ਵੀ ਤੇਜ਼ੀ ਨਾਲ ਪ੍ਰਸਿੱਧ ਹੋ ਰਿਹਾ ਹੈ।

ਡਾਟਾ ਇਕੱਠਾ ਕਰਨ

ਕਈ ਹੋਰ ਰੈਨਸਮਵੇਅਰ ਆਪਰੇਟਰਾਂ ਦੀ ਤਰ੍ਹਾਂ, ਪ੍ਰੋਲੌਕ ਦੀ ਵਰਤੋਂ ਕਰਨ ਵਾਲਾ ਸਮੂਹ ਫਿਰੌਤੀ ਪ੍ਰਾਪਤ ਕਰਨ ਦੀਆਂ ਸੰਭਾਵਨਾਵਾਂ ਨੂੰ ਵਧਾਉਣ ਲਈ ਇੱਕ ਸਮਝੌਤਾ ਕੀਤੇ ਨੈਟਵਰਕ ਤੋਂ ਡੇਟਾ ਇਕੱਠਾ ਕਰਦਾ ਹੈ। ਐਕਸਫਿਲਟਰੇਸ਼ਨ ਤੋਂ ਪਹਿਲਾਂ, ਇਕੱਤਰ ਕੀਤੇ ਡੇਟਾ ਨੂੰ 7Zip ਉਪਯੋਗਤਾ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਪੁਰਾਲੇਖਬੱਧ ਕੀਤਾ ਜਾਂਦਾ ਹੈ।

ਬਾਹਰ ਕੱਢਣਾ

ਡਾਟਾ ਅੱਪਲੋਡ ਕਰਨ ਲਈ, ProLock ਆਪਰੇਟਰ Rclone ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ, ਇੱਕ ਕਮਾਂਡ ਲਾਈਨ ਟੂਲ ਜੋ ਕਿ ਕਈ ਕਲਾਉਡ ਸਟੋਰੇਜ ਸੇਵਾਵਾਂ ਜਿਵੇਂ ਕਿ OneDrive, Google Drive, Mega, ਆਦਿ ਨਾਲ ਫਾਈਲਾਂ ਨੂੰ ਸਮਕਾਲੀ ਬਣਾਉਣ ਲਈ ਤਿਆਰ ਕੀਤਾ ਗਿਆ ਹੈ। ਹਮਲਾਵਰ ਹਮੇਸ਼ਾ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਫਾਈਲ ਦਾ ਨਾਮ ਬਦਲਦੇ ਹਨ ਤਾਂ ਜੋ ਇਸਨੂੰ ਜਾਇਜ਼ ਸਿਸਟਮ ਫਾਈਲਾਂ ਵਰਗਾ ਬਣਾਇਆ ਜਾ ਸਕੇ।

ਆਪਣੇ ਸਾਥੀਆਂ ਦੇ ਉਲਟ, ProLock ਓਪਰੇਟਰਾਂ ਕੋਲ ਅਜੇ ਵੀ ਉਹਨਾਂ ਕੰਪਨੀਆਂ ਨਾਲ ਸਬੰਧਤ ਚੋਰੀ ਕੀਤੇ ਡੇਟਾ ਨੂੰ ਪ੍ਰਕਾਸ਼ਿਤ ਕਰਨ ਲਈ ਆਪਣੀ ਵੈਬਸਾਈਟ ਨਹੀਂ ਹੈ ਜਿਨ੍ਹਾਂ ਨੇ ਫਿਰੌਤੀ ਦਾ ਭੁਗਤਾਨ ਕਰਨ ਤੋਂ ਇਨਕਾਰ ਕਰ ਦਿੱਤਾ ਹੈ।

ਅੰਤਮ ਟੀਚਾ ਪ੍ਰਾਪਤ ਕਰਨਾ

ਇੱਕ ਵਾਰ ਡੇਟਾ ਐਕਸਫਿਲਟਰ ਹੋ ਜਾਣ ਤੋਂ ਬਾਅਦ, ਟੀਮ ਸਾਰੇ ਐਂਟਰਪ੍ਰਾਈਜ਼ ਨੈਟਵਰਕ ਵਿੱਚ ਪ੍ਰੋਲੌਕ ਨੂੰ ਤੈਨਾਤ ਕਰਦੀ ਹੈ। ਬਾਈਨਰੀ ਫਾਈਲ ਨੂੰ ਐਕਸਟੈਂਸ਼ਨ ਵਾਲੀ ਫਾਈਲ ਤੋਂ ਐਕਸਟਰੈਕਟ ਕੀਤਾ ਜਾਂਦਾ ਹੈ PNG ਜ JPG PowerShell ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਅਤੇ ਮੈਮੋਰੀ ਵਿੱਚ ਇੰਜੈਕਟ ਕੀਤਾ ਗਿਆ:

ਸਭ ਤੋਂ ਪਹਿਲਾਂ, ProLock ਬਿਲਟ-ਇਨ ਸੂਚੀ ਵਿੱਚ ਦਰਸਾਈਆਂ ਪ੍ਰਕਿਰਿਆਵਾਂ ਨੂੰ ਖਤਮ ਕਰਦਾ ਹੈ (ਦਿਲਚਸਪ ਗੱਲ ਇਹ ਹੈ ਕਿ ਇਹ ਸਿਰਫ ਪ੍ਰਕਿਰਿਆ ਦੇ ਨਾਮ ਦੇ ਛੇ ਅੱਖਰਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ, ਜਿਵੇਂ ਕਿ "winwor"), ਅਤੇ ਸੇਵਾਵਾਂ ਨੂੰ ਬੰਦ ਕਰਦਾ ਹੈ, ਜਿਨ੍ਹਾਂ ਵਿੱਚ ਸੁਰੱਖਿਆ ਨਾਲ ਸਬੰਧਤ ਹਨ, ਜਿਵੇਂ ਕਿ CSFalconService ( CrowdStrike Falcon) ਕਮਾਂਡ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਨੈੱਟ ਸਟਾਪ.

ਫਿਰ, ਕਈ ਹੋਰ ਰੈਨਸਮਵੇਅਰ ਪਰਿਵਾਰਾਂ ਵਾਂਗ, ਹਮਲਾਵਰ ਵਰਤਦੇ ਹਨ vssadmin ਵਿੰਡੋਜ਼ ਸ਼ੈਡੋ ਕਾਪੀਆਂ ਨੂੰ ਮਿਟਾਉਣ ਅਤੇ ਉਹਨਾਂ ਦੇ ਆਕਾਰ ਨੂੰ ਸੀਮਤ ਕਰਨ ਲਈ ਤਾਂ ਜੋ ਨਵੀਆਂ ਕਾਪੀਆਂ ਨਾ ਬਣਾਈਆਂ ਜਾਣ:

vssadmin.exe delete shadows /all /quiet
vssadmin.exe resize shadowstorage /for=C: /on=C: /maxsize=401MB
vssadmin.exe resize shadowstorage /for=C: /on=C: /maxsize=unbounded

ProLock ਐਕਸਟੈਂਸ਼ਨ ਜੋੜਦਾ ਹੈ .proLock, .pr0ਲਾਕ ਜ .proL0ck ਹਰੇਕ ਏਨਕ੍ਰਿਪਟਡ ਫਾਈਲ ਵਿੱਚ ਅਤੇ ਫਾਈਲ ਨੂੰ ਰੱਖਦਾ ਹੈ [ਫਾਇਲਾਂ ਨੂੰ ਕਿਵੇਂ ਮੁੜ ਪ੍ਰਾਪਤ ਕਰਨਾ ਹੈ].TXT ਹਰੇਕ ਫੋਲਡਰ ਵਿੱਚ. ਇਸ ਫਾਈਲ ਵਿੱਚ ਫਾਈਲਾਂ ਨੂੰ ਡੀਕ੍ਰਿਪਟ ਕਰਨ ਬਾਰੇ ਹਦਾਇਤਾਂ ਸ਼ਾਮਲ ਹਨ, ਜਿਸ ਵਿੱਚ ਇੱਕ ਸਾਈਟ ਦਾ ਲਿੰਕ ਵੀ ਸ਼ਾਮਲ ਹੈ ਜਿੱਥੇ ਪੀੜਤ ਨੂੰ ਇੱਕ ਵਿਲੱਖਣ ID ਦਰਜ ਕਰਨੀ ਚਾਹੀਦੀ ਹੈ ਅਤੇ ਭੁਗਤਾਨ ਜਾਣਕਾਰੀ ਪ੍ਰਾਪਤ ਕਰਨੀ ਚਾਹੀਦੀ ਹੈ:

ProLock ਦੇ ਹਰੇਕ ਉਦਾਹਰਣ ਵਿੱਚ ਰਿਹਾਈ ਦੀ ਰਕਮ ਬਾਰੇ ਜਾਣਕਾਰੀ ਹੁੰਦੀ ਹੈ - ਇਸ ਕੇਸ ਵਿੱਚ, 35 ਬਿਟਕੋਇਨ, ਜੋ ਕਿ ਲਗਭਗ $312 ਹੈ।

ਸਿੱਟਾ

ਬਹੁਤ ਸਾਰੇ ਰੈਨਸਮਵੇਅਰ ਆਪਰੇਟਰ ਆਪਣੇ ਟੀਚਿਆਂ ਨੂੰ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ ਸਮਾਨ ਤਰੀਕਿਆਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ। ਉਸੇ ਸਮੇਂ, ਕੁਝ ਤਕਨੀਕਾਂ ਹਰੇਕ ਸਮੂਹ ਲਈ ਵਿਲੱਖਣ ਹੁੰਦੀਆਂ ਹਨ. ਵਰਤਮਾਨ ਵਿੱਚ, ਆਪਣੀਆਂ ਮੁਹਿੰਮਾਂ ਵਿੱਚ ਰੈਨਸਮਵੇਅਰ ਦੀ ਵਰਤੋਂ ਕਰਨ ਵਾਲੇ ਸਾਈਬਰ ਅਪਰਾਧੀ ਸਮੂਹਾਂ ਦੀ ਗਿਣਤੀ ਵੱਧ ਰਹੀ ਹੈ। ਕੁਝ ਮਾਮਲਿਆਂ ਵਿੱਚ, ਉਹੀ ਆਪਰੇਟਰ ਰੈਨਸਮਵੇਅਰ ਦੇ ਵੱਖੋ-ਵੱਖਰੇ ਪਰਿਵਾਰਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਹਮਲਿਆਂ ਵਿੱਚ ਸ਼ਾਮਲ ਹੋ ਸਕਦੇ ਹਨ, ਇਸਲਈ ਅਸੀਂ ਵਰਤੀਆਂ ਗਈਆਂ ਰਣਨੀਤੀਆਂ, ਤਕਨੀਕਾਂ ਅਤੇ ਪ੍ਰਕਿਰਿਆਵਾਂ ਵਿੱਚ ਓਵਰਲੈਪ ਦੇਖਾਂਗੇ।

MITER ATT ਅਤੇ CK ਮੈਪਿੰਗ ਨਾਲ ਮੈਪਿੰਗ

ਤਕਨੀਕੀ
ਤਕਨੀਕ

ਸ਼ੁਰੂਆਤੀ ਪਹੁੰਚ (TA0001)
ਬਾਹਰੀ ਰਿਮੋਟ ਸੇਵਾਵਾਂ (T1133), ਸਪੀਅਰਫਿਸ਼ਿੰਗ ਅਟੈਚਮੈਂਟ (T1193), ਸਪੀਅਰਫਿਸ਼ਿੰਗ ਲਿੰਕ (T1192)

ਐਗਜ਼ੀਕਿਊਸ਼ਨ (TA0002)
ਪਾਵਰਸ਼ੇਲ (T1086), ਸਕ੍ਰਿਪਟਿੰਗ (T1064), ਯੂਜ਼ਰ ਐਗਜ਼ੀਕਿਊਸ਼ਨ (T1204), ਵਿੰਡੋਜ਼ ਮੈਨੇਜਮੈਂਟ ਇੰਸਟਰੂਮੈਂਟੇਸ਼ਨ (T1047)

ਸਥਿਰਤਾ (TA0003)
ਰਜਿਸਟਰੀ ਰਨ ਕੁੰਜੀਆਂ/ਸਟਾਰਟਅੱਪ ਫੋਲਡਰ (T1060), ਅਨੁਸੂਚਿਤ ਟਾਸਕ (T1053), ਵੈਧ ਖਾਤੇ (T1078)

ਰੱਖਿਆ ਚੋਰੀ (TA0005)
ਕੋਡ ਸਾਈਨਿੰਗ (T1116), ਡੀਓਬਫਸਕੇਟ/ਡੀਕੋਡ ਫਾਈਲਾਂ ਜਾਂ ਜਾਣਕਾਰੀ (T1140), ਸੁਰੱਖਿਆ ਸਾਧਨਾਂ ਨੂੰ ਅਸਮਰੱਥ ਬਣਾਉਣਾ (T1089), ਫਾਈਲ ਮਿਟਾਉਣਾ (T1107), ਮਾਸਕਰੇਡਿੰਗ (T1036), ਪ੍ਰੋਸੈਸ ਇੰਜੈਕਸ਼ਨ (T1055)

ਕ੍ਰੈਡੈਂਸ਼ੀਅਲ ਐਕਸੈਸ (TA0006)
ਕ੍ਰੈਡੈਂਸ਼ੀਅਲ ਡੰਪਿੰਗ (T1003), ਬਰੂਟ ਫੋਰਸ (T1110), ਇਨਪੁਟ ਕੈਪਚਰ (T1056)

ਡਿਸਕਵਰੀ (TA0007)
ਅਕਾਊਂਟ ਡਿਸਕਵਰੀ (T1087), ਡੋਮੇਨ ਟਰੱਸਟ ਡਿਸਕਵਰੀ (T1482), ਫਾਈਲ ਅਤੇ ਡਾਇਰੈਕਟਰੀ ਡਿਸਕਵਰੀ (T1083), ਨੈੱਟਵਰਕ ਸਰਵਿਸ ਸਕੈਨਿੰਗ (T1046), ਨੈੱਟਵਰਕ ਸ਼ੇਅਰ ਡਿਸਕਵਰੀ (T1135), ਰਿਮੋਟ ਸਿਸਟਮ ਡਿਸਕਵਰੀ (T1018)

ਲੇਟਰਲ ਮੂਵਮੈਂਟ (TA0008)
ਰਿਮੋਟ ਡੈਸਕਟਾਪ ਪ੍ਰੋਟੋਕੋਲ (T1076), ਰਿਮੋਟ ਫਾਈਲ ਕਾਪੀ (T1105), ਵਿੰਡੋਜ਼ ਐਡਮਿਨ ਸ਼ੇਅਰ (T1077)

ਸੰਗ੍ਰਹਿ (TA0009)
ਲੋਕਲ ਸਿਸਟਮ (T1005) ਤੋਂ ਡਾਟਾ, ਨੈੱਟਵਰਕ ਸ਼ੇਅਰਡ ਡਰਾਈਵ (T1039), ਡਾਟਾ ਸਟੇਜਡ (T1074) ਤੋਂ ਡਾਟਾ

ਕਮਾਂਡ ਅਤੇ ਕੰਟਰੋਲ (TA0011)
ਆਮ ਤੌਰ 'ਤੇ ਵਰਤੀ ਜਾਂਦੀ ਪੋਰਟ (T1043), ਵੈੱਬ ਸੇਵਾ (T1102)

ਐਕਸਫਿਲਟਰੇਸ਼ਨ (TA0010)
ਡਾਟਾ ਸੰਕੁਚਿਤ (T1002), ਕਲਾਉਡ ਖਾਤੇ (T1537) ਵਿੱਚ ਡੇਟਾ ਟ੍ਰਾਂਸਫਰ ਕਰੋ

ਪ੍ਰਭਾਵ (TA0040)
ਇਮਪੈਕਟ (T1486), ਇੰਨਹਿਬਿਟ ਸਿਸਟਮ ਰਿਕਵਰੀ (T1490) ਲਈ ਡਾਟਾ ਐਨਕ੍ਰਿਪਟ ਕੀਤਾ ਗਿਆ

ਸਰੋਤ: www.habr.com