ਵੁਲਫ੍ਰਿਕ ਰੈਨਸਮਵੇਅਰ – ਇੱਕ ਰੈਨਸਮਵੇਅਰ ਜੋ ਮੌਜੂਦ ਨਹੀਂ ਹੈ

ਕਈ ਵਾਰ ਤੁਸੀਂ ਕਿਸੇ ਵਾਇਰਸ ਲੇਖਕ ਦੀਆਂ ਅੱਖਾਂ ਵਿੱਚ ਵੇਖਣਾ ਚਾਹੁੰਦੇ ਹੋ ਅਤੇ ਪੁੱਛਣਾ ਚਾਹੁੰਦੇ ਹੋ: ਕਿਉਂ ਅਤੇ ਕਿਉਂ? ਅਸੀਂ ਆਪਣੇ ਆਪ "ਕਿਵੇਂ" ਸਵਾਲ ਦਾ ਜਵਾਬ ਦੇ ਸਕਦੇ ਹਾਂ, ਪਰ ਇਹ ਪਤਾ ਲਗਾਉਣਾ ਬਹੁਤ ਦਿਲਚਸਪ ਹੋਵੇਗਾ ਕਿ ਇਹ ਜਾਂ ਉਹ ਮਾਲਵੇਅਰ ਨਿਰਮਾਤਾ ਕੀ ਸੋਚ ਰਿਹਾ ਸੀ। ਖ਼ਾਸਕਰ ਜਦੋਂ ਅਸੀਂ ਅਜਿਹੇ "ਮੋਤੀ" ਨੂੰ ਵੇਖਦੇ ਹਾਂ।

ਅੱਜ ਦੇ ਲੇਖ ਦਾ ਨਾਇਕ ਇੱਕ ਕ੍ਰਿਪਟੋਗ੍ਰਾਫਰ ਦੀ ਇੱਕ ਦਿਲਚਸਪ ਉਦਾਹਰਣ ਹੈ. ਇਹ ਸਪੱਸ਼ਟ ਤੌਰ 'ਤੇ ਸਿਰਫ ਇਕ ਹੋਰ "ਰੈਨਸਮਵੇਅਰ" ਵਜੋਂ ਕਲਪਨਾ ਕੀਤੀ ਗਈ ਸੀ, ਪਰ ਇਸਦਾ ਤਕਨੀਕੀ ਲਾਗੂਕਰਨ ਕਿਸੇ ਦੇ ਬੇਰਹਿਮ ਮਜ਼ਾਕ ਵਰਗਾ ਲੱਗਦਾ ਹੈ। ਅਸੀਂ ਅੱਜ ਇਸ ਲਾਗੂ ਕਰਨ ਬਾਰੇ ਗੱਲ ਕਰਾਂਗੇ।

ਬਦਕਿਸਮਤੀ ਨਾਲ, ਇਸ ਏਨਕੋਡਰ ਦੇ ਜੀਵਨ ਚੱਕਰ ਦਾ ਪਤਾ ਲਗਾਉਣਾ ਲਗਭਗ ਅਸੰਭਵ ਹੈ - ਇਸ 'ਤੇ ਬਹੁਤ ਘੱਟ ਅੰਕੜੇ ਹਨ, ਕਿਉਂਕਿ, ਖੁਸ਼ਕਿਸਮਤੀ ਨਾਲ, ਇਹ ਵਿਆਪਕ ਨਹੀਂ ਹੋਇਆ ਹੈ। ਇਸ ਲਈ, ਅਸੀਂ ਮੂਲ, ਲਾਗ ਦੇ ਤਰੀਕਿਆਂ ਅਤੇ ਹੋਰ ਹਵਾਲਿਆਂ ਨੂੰ ਛੱਡ ਦੇਵਾਂਗੇ। ਦੇ ਨਾਲ ਮੁਲਾਕਾਤ ਦੇ ਸਾਡੇ ਮਾਮਲੇ ਬਾਰੇ ਗੱਲ ਕਰੀਏ ਵੁਲਫ੍ਰਿਕ ਰੈਨਸਮਵੇਅਰ ਅਤੇ ਅਸੀਂ ਉਪਭੋਗਤਾ ਨੂੰ ਉਸਦੀ ਫਾਈਲਾਂ ਨੂੰ ਸੁਰੱਖਿਅਤ ਕਰਨ ਵਿੱਚ ਕਿਵੇਂ ਮਦਦ ਕੀਤੀ।

I. ਇਹ ਸਭ ਕਿਵੇਂ ਸ਼ੁਰੂ ਹੋਇਆ

ਜਿਹੜੇ ਲੋਕ ਰੈਨਸਮਵੇਅਰ ਦੇ ਸ਼ਿਕਾਰ ਹੋਏ ਹਨ ਅਕਸਰ ਸਾਡੀ ਐਂਟੀ-ਵਾਇਰਸ ਲੈਬਾਰਟਰੀ ਨਾਲ ਸੰਪਰਕ ਕਰਦੇ ਹਨ। ਅਸੀਂ ਸਹਾਇਤਾ ਪ੍ਰਦਾਨ ਕਰਦੇ ਹਾਂ ਭਾਵੇਂ ਉਹਨਾਂ ਨੇ ਕਿਹੜੇ ਐਂਟੀਵਾਇਰਸ ਉਤਪਾਦ ਸਥਾਪਤ ਕੀਤੇ ਹਨ। ਇਸ ਵਾਰ ਸਾਨੂੰ ਇੱਕ ਵਿਅਕਤੀ ਦੁਆਰਾ ਸੰਪਰਕ ਕੀਤਾ ਗਿਆ ਸੀ ਜਿਸ ਦੀਆਂ ਫਾਈਲਾਂ ਇੱਕ ਅਣਜਾਣ ਏਨਕੋਡਰ ਦੁਆਰਾ ਪ੍ਰਭਾਵਿਤ ਹੋਈਆਂ ਸਨ।

ਨਮਸਕਾਰ ਫਾਈਲਾਂ ਨੂੰ ਇੱਕ ਫਾਈਲ ਸਟੋਰੇਜ਼ (samba4) ਉੱਤੇ ਪਾਸਵਰਡ ਰਹਿਤ ਲਾਗਇਨ ਨਾਲ ਐਨਕ੍ਰਿਪਟ ਕੀਤਾ ਗਿਆ ਸੀ। ਮੈਨੂੰ ਸ਼ੱਕ ਹੈ ਕਿ ਲਾਗ ਮੇਰੀ ਧੀ ਦੇ ਕੰਪਿਊਟਰ ਤੋਂ ਆਈ ਹੈ (ਸਟੈਂਡਰਡ ਵਿੰਡੋਜ਼ ਡਿਫੈਂਡਰ ਸੁਰੱਖਿਆ ਦੇ ਨਾਲ ਵਿੰਡੋਜ਼ 10)। ਉਸ ਤੋਂ ਬਾਅਦ ਬੇਟੀ ਦਾ ਕੰਪਿਊਟਰ ਚਾਲੂ ਨਹੀਂ ਹੋਇਆ। ਫਾਈਲਾਂ ਮੁੱਖ ਤੌਰ 'ਤੇ .jpg ਅਤੇ .cr2 ਨੂੰ ਐਨਕ੍ਰਿਪਟ ਕੀਤੀਆਂ ਗਈਆਂ ਹਨ। ਏਨਕ੍ਰਿਪਸ਼ਨ ਤੋਂ ਬਾਅਦ ਫਾਈਲ ਐਕਸਟੈਂਸ਼ਨ: .aef.

ਸਾਨੂੰ ਏਨਕ੍ਰਿਪਟਡ ਫਾਈਲਾਂ ਦੇ ਉਪਭੋਗਤਾ ਨਮੂਨੇ, ਇੱਕ ਰਿਹਾਈ ਨੋਟ, ਅਤੇ ਇੱਕ ਫਾਈਲ ਪ੍ਰਾਪਤ ਹੋਈ ਹੈ ਜੋ ਸੰਭਾਵਤ ਤੌਰ 'ਤੇ ਫਾਈਲਾਂ ਨੂੰ ਡੀਕ੍ਰਿਪਟ ਕਰਨ ਲਈ ਰੈਨਸਮਵੇਅਰ ਲੇਖਕ ਨੂੰ ਲੋੜੀਂਦੀ ਕੁੰਜੀ ਹੈ।

ਇੱਥੇ ਸਾਡੇ ਸਾਰੇ ਸੁਰਾਗ ਹਨ:

• 01c.aef (4481K)
• hacked.jpg (254K)
• hacked.txt (0K)
• 04c.aef (6540K)
• pass.key (0K)

ਆਓ ਨੋਟ 'ਤੇ ਇੱਕ ਨਜ਼ਰ ਮਾਰੀਏ. ਇਸ ਵਾਰ ਕਿੰਨੇ ਬਿਟਕੋਇਨ ਹਨ?

ਅਨੁਵਾਦ:

ਧਿਆਨ ਦਿਓ, ਤੁਹਾਡੀਆਂ ਫਾਈਲਾਂ ਐਨਕ੍ਰਿਪਟਡ ਹਨ!
ਪਾਸਵਰਡ ਤੁਹਾਡੇ PC ਲਈ ਵਿਲੱਖਣ ਹੈ।

ਬਿਟਕੋਇਨ ਪਤੇ 'ਤੇ 0.05 BTC ਦੀ ਰਕਮ ਦਾ ਭੁਗਤਾਨ ਕਰੋ: 1ERtRjWAKyG2Edm9nKLLCzd8p1CjjdTiF
ਭੁਗਤਾਨ ਕਰਨ ਤੋਂ ਬਾਅਦ, pass.key ਫਾਈਲ ਨੂੰ ਅਟੈਚ ਕਰਕੇ ਮੈਨੂੰ ਇੱਕ ਈਮੇਲ ਭੇਜੋ [ਈਮੇਲ ਸੁਰੱਖਿਅਤ] ਭੁਗਤਾਨ ਦੀ ਸੂਚਨਾ ਦੇ ਨਾਲ.

ਪੁਸ਼ਟੀ ਤੋਂ ਬਾਅਦ, ਮੈਂ ਤੁਹਾਨੂੰ ਫਾਈਲਾਂ ਲਈ ਇੱਕ ਡੀਕ੍ਰਿਪਟਰ ਭੇਜਾਂਗਾ।

ਤੁਸੀਂ ਵੱਖ-ਵੱਖ ਤਰੀਕਿਆਂ ਨਾਲ ਆਨਲਾਈਨ ਬਿਟਕੋਇਨਾਂ ਲਈ ਭੁਗਤਾਨ ਕਰ ਸਕਦੇ ਹੋ:
buy.blockexplorer.com - ਬੈਂਕ ਕਾਰਡ ਦੁਆਰਾ ਭੁਗਤਾਨ
www.buybitcoinworldwide.com
localbitcoins.net

ਬਿਟਕੋਇਨਾਂ ਬਾਰੇ:
en.wikipedia.org/wiki/Bitcoin
ਜੇਕਰ ਤੁਹਾਡੇ ਕੋਈ ਸਵਾਲ ਹਨ, ਤਾਂ ਕਿਰਪਾ ਕਰਕੇ ਮੈਨੂੰ ਇਸ 'ਤੇ ਲਿਖੋ [ਈਮੇਲ ਸੁਰੱਖਿਅਤ]
ਇੱਕ ਬੋਨਸ ਵਜੋਂ, ਮੈਂ ਤੁਹਾਨੂੰ ਦੱਸਾਂਗਾ ਕਿ ਤੁਹਾਡਾ ਕੰਪਿਊਟਰ ਕਿਵੇਂ ਹੈਕ ਕੀਤਾ ਗਿਆ ਸੀ ਅਤੇ ਭਵਿੱਖ ਵਿੱਚ ਇਸਨੂੰ ਕਿਵੇਂ ਸੁਰੱਖਿਅਤ ਕਰਨਾ ਹੈ।

ਇੱਕ ਦਿਖਾਵਾ ਵਾਲਾ ਬਘਿਆੜ, ਪੀੜਤ ਨੂੰ ਸਥਿਤੀ ਦੀ ਗੰਭੀਰਤਾ ਦਿਖਾਉਣ ਲਈ ਤਿਆਰ ਕੀਤਾ ਗਿਆ ਹੈ। ਹਾਲਾਂਕਿ, ਇਹ ਬਦਤਰ ਹੋ ਸਕਦਾ ਸੀ।

ਚੌਲ. 1. -ਇੱਕ ਬੋਨਸ ਵਜੋਂ, ਮੈਂ ਤੁਹਾਨੂੰ ਦੱਸਾਂਗਾ ਕਿ ਭਵਿੱਖ ਵਿੱਚ ਤੁਹਾਡੇ ਕੰਪਿਊਟਰ ਨੂੰ ਕਿਵੇਂ ਸੁਰੱਖਿਅਤ ਕਰਨਾ ਹੈ। -ਯੋਗ ਲਗਦਾ ਹੈ.

II. ਆਓ ਸ਼ੁਰੂ ਕਰੀਏ

ਸਭ ਤੋਂ ਪਹਿਲਾਂ, ਅਸੀਂ ਭੇਜੇ ਗਏ ਨਮੂਨੇ ਦੀ ਬਣਤਰ ਨੂੰ ਦੇਖਿਆ. ਅਜੀਬ ਤੌਰ 'ਤੇ, ਇਹ ਉਸ ਫਾਈਲ ਵਰਗੀ ਨਹੀਂ ਲੱਗਦੀ ਸੀ ਜੋ ਰੈਨਸਮਵੇਅਰ ਦੁਆਰਾ ਖਰਾਬ ਹੋ ਗਈ ਸੀ। ਹੈਕਸਾਡੈਸੀਮਲ ਐਡੀਟਰ ਖੋਲ੍ਹੋ ਅਤੇ ਇੱਕ ਨਜ਼ਰ ਮਾਰੋ। ਪਹਿਲੀਆਂ 4 ਬਾਈਟਾਂ ਵਿੱਚ ਅਸਲ ਫ਼ਾਈਲ ਦਾ ਆਕਾਰ ਹੁੰਦਾ ਹੈ, ਅਗਲੀਆਂ 60 ਬਾਈਟਾਂ ਜ਼ੀਰੋ ਨਾਲ ਭਰੀਆਂ ਹੁੰਦੀਆਂ ਹਨ। ਪਰ ਸਭ ਤੋਂ ਦਿਲਚਸਪ ਗੱਲ ਇਹ ਹੈ ਕਿ ਅੰਤ ਵਿੱਚ:

ਚੌਲ. 2 ਖਰਾਬ ਹੋਈ ਫਾਈਲ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰੋ। ਕੀ ਤੁਰੰਤ ਤੁਹਾਡੀ ਅੱਖ ਨੂੰ ਫੜਦਾ ਹੈ?

ਹਰ ਚੀਜ਼ ਤੰਗ ਕਰਨ ਵਾਲੀ ਸਧਾਰਨ ਸਾਬਤ ਹੋਈ: ਸਿਰਲੇਖ ਤੋਂ 0x40 ਬਾਈਟ ਫਾਈਲ ਦੇ ਅੰਤ ਵਿੱਚ ਭੇਜੇ ਗਏ ਸਨ। ਡਾਟਾ ਰੀਸਟੋਰ ਕਰਨ ਲਈ, ਇਸਨੂੰ ਸ਼ੁਰੂ ਵਿੱਚ ਵਾਪਸ ਕਰੋ। ਫਾਈਲ ਤੱਕ ਪਹੁੰਚ ਨੂੰ ਬਹਾਲ ਕਰ ਦਿੱਤਾ ਗਿਆ ਹੈ, ਪਰ ਨਾਮ ਐਨਕ੍ਰਿਪਟਡ ਰਹਿੰਦਾ ਹੈ, ਅਤੇ ਇਸ ਨਾਲ ਚੀਜ਼ਾਂ ਹੋਰ ਗੁੰਝਲਦਾਰ ਹੋ ਰਹੀਆਂ ਹਨ।

ਚੌਲ. 3. ਬੇਸ 64 ਵਿੱਚ ਐਨਕ੍ਰਿਪਟਡ ਨਾਮ ਅੱਖਰਾਂ ਦੇ ਇੱਕ ਰੈਂਬਲਿੰਗ ਸੈੱਟ ਵਾਂਗ ਦਿਸਦਾ ਹੈ।

ਦੇ ਇਸ ਨੂੰ ਬਾਹਰ ਦਾ ਿਹਸਾਬ ਲਗਾਉਣ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰੀਏ pass.key, ਉਪਭੋਗਤਾ ਦੁਆਰਾ ਸਪੁਰਦ ਕੀਤਾ ਗਿਆ। ਇਸ ਵਿੱਚ ਅਸੀਂ ASCII ਅੱਖਰਾਂ ਦਾ 162-ਬਾਈਟ ਕ੍ਰਮ ਦੇਖਦੇ ਹਾਂ।

ਚੌਲ. 4. ਪੀੜਤ ਦੇ ਪੀਸੀ 'ਤੇ 162 ਅੱਖਰ ਬਾਕੀ ਹਨ।

ਜੇ ਤੁਸੀਂ ਧਿਆਨ ਨਾਲ ਵੇਖਦੇ ਹੋ, ਤਾਂ ਤੁਸੀਂ ਵੇਖੋਗੇ ਕਿ ਚਿੰਨ੍ਹ ਇੱਕ ਨਿਸ਼ਚਿਤ ਬਾਰੰਬਾਰਤਾ ਨਾਲ ਦੁਹਰਾਏ ਗਏ ਹਨ। ਇਹ XOR ਦੀ ਵਰਤੋਂ ਨੂੰ ਦਰਸਾ ਸਕਦਾ ਹੈ, ਜੋ ਦੁਹਰਾਓ ਦੁਆਰਾ ਦਰਸਾਇਆ ਗਿਆ ਹੈ, ਜਿਸਦੀ ਬਾਰੰਬਾਰਤਾ ਕੁੰਜੀ ਦੀ ਲੰਬਾਈ 'ਤੇ ਨਿਰਭਰ ਕਰਦੀ ਹੈ। ਸਟ੍ਰਿੰਗ ਨੂੰ 6 ਅੱਖਰਾਂ ਵਿੱਚ ਵੰਡਣ ਅਤੇ XOR ਕ੍ਰਮ ਦੇ ਕੁਝ ਰੂਪਾਂ ਨਾਲ XOR ਕੀਤਾ ਗਿਆ, ਅਸੀਂ ਕੋਈ ਸਾਰਥਕ ਨਤੀਜਾ ਪ੍ਰਾਪਤ ਨਹੀਂ ਕੀਤਾ।

ਚੌਲ. 5. ਮੱਧ ਵਿੱਚ ਦੁਹਰਾਉਣ ਵਾਲੇ ਸਥਿਰਾਂਕ ਵੇਖੋ?

ਅਸੀਂ ਸਥਿਰਾਂਕ ਨੂੰ ਗੂਗਲ ਕਰਨ ਦਾ ਫੈਸਲਾ ਕੀਤਾ, ਕਿਉਂਕਿ ਹਾਂ, ਇਹ ਵੀ ਸੰਭਵ ਹੈ! ਅਤੇ ਉਹ ਸਾਰੇ ਆਖਰਕਾਰ ਇੱਕ ਐਲਗੋਰਿਦਮ ਵੱਲ ਲੈ ਗਏ - ਬੈਚ ਐਨਕ੍ਰਿਪਸ਼ਨ। ਸਕ੍ਰਿਪਟ ਦਾ ਅਧਿਐਨ ਕਰਨ ਤੋਂ ਬਾਅਦ, ਇਹ ਸਪੱਸ਼ਟ ਹੋ ਗਿਆ ਕਿ ਸਾਡੀ ਲਾਈਨ ਇਸ ਦੇ ਕੰਮ ਦੇ ਨਤੀਜੇ ਤੋਂ ਵੱਧ ਕੁਝ ਨਹੀਂ ਹੈ. ਇਹ ਜ਼ਿਕਰ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ ਕਿ ਇਹ ਕੋਈ ਐਨਕ੍ਰਿਪਟਰ ਨਹੀਂ ਹੈ, ਪਰ ਸਿਰਫ਼ ਇੱਕ ਏਨਕੋਡਰ ਹੈ ਜੋ ਅੱਖਰਾਂ ਨੂੰ 6-ਬਾਈਟ ਕ੍ਰਮਾਂ ਨਾਲ ਬਦਲਦਾ ਹੈ। ਤੁਹਾਡੇ ਲਈ ਕੋਈ ਕੁੰਜੀਆਂ ਜਾਂ ਹੋਰ ਰਾਜ਼ ਨਹੀਂ :)

ਚੌਲ. 6. ਅਣਜਾਣ ਲੇਖਕ ਦੇ ਮੂਲ ਐਲਗੋਰਿਦਮ ਦਾ ਇੱਕ ਟੁਕੜਾ।

ਐਲਗੋਰਿਦਮ ਕੰਮ ਨਹੀਂ ਕਰੇਗਾ ਜਿਵੇਂ ਕਿ ਇਹ ਇੱਕ ਵੇਰਵੇ ਲਈ ਨਹੀਂ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ:

ਚੌਲ. 7. ਮੋਰਫਿਅਸ ਨੇ ਮਨਜ਼ੂਰੀ ਦਿੱਤੀ।

ਰਿਵਰਸ ਸਬਸਟੀਟਿਊਸ਼ਨ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਅਸੀਂ ਸਟ੍ਰਿੰਗ ਨੂੰ ਇਸ ਤੋਂ ਬਦਲਦੇ ਹਾਂ pass.key 27 ਅੱਖਰਾਂ ਦੇ ਪਾਠ ਵਿੱਚ। ਮਨੁੱਖੀ (ਜ਼ਿਆਦਾਤਰ) ਪਾਠ 'ਅਸਮੋਦਤ' ਵਿਸ਼ੇਸ਼ ਧਿਆਨ ਦਾ ਹੱਕਦਾਰ ਹੈ।

ਚਿੱਤਰ.8. USGFDG=7।

Google ਦੁਬਾਰਾ ਸਾਡੀ ਮਦਦ ਕਰੇਗਾ। ਥੋੜੀ ਜਿਹੀ ਖੋਜ ਕਰਨ ਤੋਂ ਬਾਅਦ, ਸਾਨੂੰ GitHub - ਫੋਲਡਰ ਲਾਕਰ 'ਤੇ ਇੱਕ ਦਿਲਚਸਪ ਪ੍ਰੋਜੈਕਟ ਮਿਲਦਾ ਹੈ, ਜੋ ਕਿ .Net ਵਿੱਚ ਲਿਖਿਆ ਗਿਆ ਹੈ ਅਤੇ ਇੱਕ ਹੋਰ Git ਖਾਤੇ ਤੋਂ 'asmodat' ਲਾਇਬ੍ਰੇਰੀ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ।

ਚੌਲ. 9. ਫੋਲਡਰ ਲਾਕਰ ਇੰਟਰਫੇਸ। ਮਾਲਵੇਅਰ ਦੀ ਜਾਂਚ ਕਰਨਾ ਯਕੀਨੀ ਬਣਾਓ।

ਉਪਯੋਗਤਾ ਵਿੰਡੋਜ਼ 7 ਅਤੇ ਇਸ ਤੋਂ ਉੱਚੇ ਲਈ ਇੱਕ ਐਨਕ੍ਰਿਪਟਰ ਹੈ, ਜੋ ਓਪਨ ਸੋਰਸ ਵਜੋਂ ਵੰਡਿਆ ਜਾਂਦਾ ਹੈ। ਏਨਕ੍ਰਿਪਸ਼ਨ ਦੇ ਦੌਰਾਨ, ਇੱਕ ਪਾਸਵਰਡ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ, ਜੋ ਬਾਅਦ ਵਿੱਚ ਡੀਕ੍ਰਿਪਸ਼ਨ ਲਈ ਜ਼ਰੂਰੀ ਹੁੰਦਾ ਹੈ। ਤੁਹਾਨੂੰ ਵਿਅਕਤੀਗਤ ਫਾਈਲਾਂ ਅਤੇ ਸਮੁੱਚੀ ਡਾਇਰੈਕਟਰੀਆਂ ਨਾਲ ਕੰਮ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ।

ਇਸਦੀ ਲਾਇਬ੍ਰੇਰੀ CBC ਮੋਡ ਵਿੱਚ Rijndael ਸਮਮਿਤੀ ਐਨਕ੍ਰਿਪਸ਼ਨ ਐਲਗੋਰਿਦਮ ਦੀ ਵਰਤੋਂ ਕਰਦੀ ਹੈ। ਇਹ ਧਿਆਨ ਦੇਣ ਯੋਗ ਹੈ ਕਿ ਬਲਾਕ ਦਾ ਆਕਾਰ 256 ਬਿੱਟ ਹੋਣ ਲਈ ਚੁਣਿਆ ਗਿਆ ਸੀ - AES ਸਟੈਂਡਰਡ ਵਿੱਚ ਅਪਣਾਏ ਗਏ ਇਸਦੇ ਉਲਟ। ਬਾਅਦ ਵਿੱਚ, ਆਕਾਰ 128 ਬਿੱਟ ਤੱਕ ਸੀਮਿਤ ਹੈ.

ਸਾਡੀ ਕੁੰਜੀ PBKDF2 ਸਟੈਂਡਰਡ ਦੇ ਅਨੁਸਾਰ ਤਿਆਰ ਕੀਤੀ ਗਈ ਹੈ। ਇਸ ਸਥਿਤੀ ਵਿੱਚ, ਉਪਯੋਗਤਾ ਵਿੱਚ ਦਾਖਲ ਕੀਤੀ ਸਤਰ ਤੋਂ ਪਾਸਵਰਡ SHA-256 ਹੈ। ਡੀਕ੍ਰਿਪਸ਼ਨ ਕੁੰਜੀ ਬਣਾਉਣ ਲਈ ਇਸ ਸਤਰ ਨੂੰ ਲੱਭਣਾ ਬਾਕੀ ਹੈ।

ਖੈਰ, ਚਲੋ ਸਾਡੇ ਪਹਿਲਾਂ ਹੀ ਡੀਕੋਡ ਕੀਤੇ ਗਏ 'ਤੇ ਵਾਪਸ ਚਲੀਏ pass.key. ਨੰਬਰਾਂ ਦੇ ਸੈੱਟ ਅਤੇ ਟੈਕਸਟ 'ਅਸਮੋਦਤ' ਵਾਲੀ ਉਹ ਲਾਈਨ ਯਾਦ ਹੈ? ਆਉ ਫੋਲਡਰ ਲਾਕਰ ਲਈ ਸਟ੍ਰਿੰਗ ਦੇ ਪਹਿਲੇ 20 ਬਾਈਟਾਂ ਨੂੰ ਪਾਸਵਰਡ ਵਜੋਂ ਵਰਤਣ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰੀਏ।

ਦੇਖੋ, ਇਹ ਕੰਮ ਕਰਦਾ ਹੈ! ਕੋਡ ਸ਼ਬਦ ਆਇਆ, ਅਤੇ ਸਭ ਕੁਝ ਪੂਰੀ ਤਰ੍ਹਾਂ ਸਮਝਿਆ ਗਿਆ ਸੀ. ਪਾਸਵਰਡ ਵਿੱਚ ਅੱਖਰਾਂ ਦੁਆਰਾ ਨਿਰਣਾ ਕਰਦੇ ਹੋਏ, ਇਹ ASCII ਵਿੱਚ ਇੱਕ ਖਾਸ ਸ਼ਬਦ ਦੀ ਇੱਕ HEX ਨੁਮਾਇੰਦਗੀ ਹੈ। ਆਉ ਕੋਡ ਵਰਡ ਨੂੰ ਟੈਕਸਟ ਰੂਪ ਵਿੱਚ ਪ੍ਰਦਰਸ਼ਿਤ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰੀਏ। ਸਾਨੂੰ ਪ੍ਰਾਪਤ 'shadowwolf'। ਕੀ ਪਹਿਲਾਂ ਤੋਂ ਹੀ lycanthropy ਦੇ ਲੱਛਣ ਮਹਿਸੂਸ ਕਰ ਰਹੇ ਹੋ?

ਆਉ ਪ੍ਰਭਾਵਤ ਫਾਈਲ ਦੀ ਬਣਤਰ 'ਤੇ ਇਕ ਹੋਰ ਨਜ਼ਰ ਮਾਰੀਏ, ਹੁਣ ਇਹ ਜਾਣਦੇ ਹੋਏ ਕਿ ਲਾਕਰ ਕਿਵੇਂ ਕੰਮ ਕਰਦਾ ਹੈ:

• 02 00 00 00 - ਨਾਮ ਇਨਕ੍ਰਿਪਸ਼ਨ ਮੋਡ;
• 58 00 00 00 - ਏਨਕ੍ਰਿਪਟਡ ਅਤੇ ਬੇਸ64 ਏਨਕੋਡਡ ਫਾਈਲ ਨਾਮ ਦੀ ਲੰਬਾਈ;
• 40 00 00 00 - ਟ੍ਰਾਂਸਫਰ ਕੀਤੇ ਸਿਰਲੇਖ ਦਾ ਆਕਾਰ।

ਐਨਕ੍ਰਿਪਟਡ ਨਾਮ ਅਤੇ ਟ੍ਰਾਂਸਫਰ ਕੀਤੇ ਸਿਰਲੇਖ ਨੂੰ ਕ੍ਰਮਵਾਰ ਲਾਲ ਅਤੇ ਪੀਲੇ ਰੰਗ ਵਿੱਚ ਉਜਾਗਰ ਕੀਤਾ ਗਿਆ ਹੈ।

ਚੌਲ. 10. ਐਨਕ੍ਰਿਪਟਡ ਨਾਮ ਲਾਲ ਰੰਗ ਵਿੱਚ ਉਜਾਗਰ ਕੀਤਾ ਗਿਆ ਹੈ, ਟ੍ਰਾਂਸਫਰ ਕੀਤਾ ਸਿਰਲੇਖ ਪੀਲੇ ਵਿੱਚ ਉਜਾਗਰ ਕੀਤਾ ਗਿਆ ਹੈ।

ਆਉ ਹੁਣ ਹੈਕਸਾਡੈਸੀਮਲ ਪ੍ਰਤੀਨਿਧਤਾ ਵਿੱਚ ਐਨਕ੍ਰਿਪਟਡ ਅਤੇ ਡੀਕ੍ਰਿਪਟ ਕੀਤੇ ਨਾਮਾਂ ਦੀ ਤੁਲਨਾ ਕਰੀਏ।

ਡੀਕ੍ਰਿਪਟ ਕੀਤੇ ਡੇਟਾ ਦੀ ਬਣਤਰ:

• 78 B9 B8 2E – ਉਪਯੋਗਤਾ ਦੁਆਰਾ ਬਣਾਇਆ ਗਿਆ ਕੂੜਾ (4 ਬਾਈਟ);
• 0С 00 00 00 - ਡੀਕ੍ਰਿਪਟ ਕੀਤੇ ਨਾਮ ਦੀ ਲੰਬਾਈ (12 ਬਾਈਟ);
• ਅੱਗੇ ਅਸਲ ਫਾਈਲ ਨਾਮ ਅਤੇ ਲੋੜੀਂਦੇ ਬਲਾਕ ਦੀ ਲੰਬਾਈ (ਪੈਡਿੰਗ) ਲਈ ਜ਼ੀਰੋ ਦੇ ਨਾਲ ਪੈਡਿੰਗ ਆਉਂਦੀ ਹੈ।

ਚੌਲ. 11. IMG_4114 ਬਹੁਤ ਵਧੀਆ ਦਿਖਦਾ ਹੈ।

III. ਸਿੱਟਾ ਅਤੇ ਸਿੱਟਾ

ਵਾਪਸ ਸ਼ੁਰੂ ਕਰਨ ਲਈ. ਸਾਨੂੰ ਨਹੀਂ ਪਤਾ ਕਿ Wulfric.Ransomware ਦੇ ਲੇਖਕ ਨੂੰ ਕਿਸ ਚੀਜ਼ ਨੇ ਪ੍ਰੇਰਿਤ ਕੀਤਾ ਅਤੇ ਉਸ ਨੇ ਕਿਹੜੇ ਟੀਚੇ ਦਾ ਪਿੱਛਾ ਕੀਤਾ। ਬੇਸ਼ੱਕ, ਔਸਤ ਉਪਭੋਗਤਾ ਲਈ, ਅਜਿਹੇ ਐਨਕ੍ਰਿਪਟਰ ਦੇ ਕੰਮ ਦਾ ਨਤੀਜਾ ਇੱਕ ਵੱਡੀ ਤਬਾਹੀ ਵਾਂਗ ਜਾਪਦਾ ਹੈ. ਫਾਈਲਾਂ ਨਹੀਂ ਖੁੱਲ੍ਹਦੀਆਂ। ਸਾਰੇ ਨਾਮ ਖਤਮ ਹੋ ਗਏ ਹਨ। ਆਮ ਤਸਵੀਰ ਦੀ ਬਜਾਏ, ਸਕਰੀਨ 'ਤੇ ਇੱਕ ਬਘਿਆੜ ਹੈ. ਉਹ ਤੁਹਾਨੂੰ ਬਿਟਕੋਇਨਾਂ ਬਾਰੇ ਪੜ੍ਹਨ ਲਈ ਮਜਬੂਰ ਕਰਦੇ ਹਨ।

ਇਹ ਸੱਚ ਹੈ ਕਿ ਇਸ ਵਾਰ, "ਭਿਆਨਕ ਏਨਕੋਡਰ" ਦੀ ਆੜ ਵਿੱਚ, ਜਬਰਨ ਵਸੂਲੀ ਦੀ ਅਜਿਹੀ ਹਾਸੋਹੀਣੀ ਅਤੇ ਮੂਰਖਤਾ ਭਰੀ ਕੋਸ਼ਿਸ਼ ਲੁਕੀ ਹੋਈ ਸੀ, ਜਿੱਥੇ ਹਮਲਾਵਰ ਤਿਆਰ ਪ੍ਰੋਗਰਾਮਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ ਅਤੇ ਕੁੰਜੀਆਂ ਨੂੰ ਅਪਰਾਧ ਦੇ ਸਥਾਨ 'ਤੇ ਛੱਡ ਦਿੰਦਾ ਹੈ।

ਤਰੀਕੇ ਨਾਲ, ਕੁੰਜੀਆਂ ਬਾਰੇ. ਸਾਡੇ ਕੋਲ ਕੋਈ ਖ਼ਰਾਬ ਸਕ੍ਰਿਪਟ ਜਾਂ ਟਰੋਜਨ ਨਹੀਂ ਸੀ ਜੋ ਇਹ ਸਮਝਣ ਵਿੱਚ ਸਾਡੀ ਮਦਦ ਕਰ ਸਕੇ ਕਿ ਇਹ ਕਿਵੇਂ ਹੋਇਆ। pass.key - ਸੰਕਰਮਿਤ ਪੀਸੀ 'ਤੇ ਫਾਈਲ ਦਿਖਾਈ ਦੇਣ ਵਾਲੀ ਵਿਧੀ ਅਣਜਾਣ ਰਹਿੰਦੀ ਹੈ। ਪਰ, ਮੈਨੂੰ ਯਾਦ ਹੈ, ਲੇਖਕ ਨੇ ਆਪਣੇ ਨੋਟ ਵਿੱਚ ਪਾਸਵਰਡ ਦੀ ਵਿਲੱਖਣਤਾ ਦਾ ਜ਼ਿਕਰ ਕੀਤਾ ਹੈ। ਇਸ ਲਈ, ਡੀਕ੍ਰਿਪਸ਼ਨ ਲਈ ਕੋਡ ਸ਼ਬਦ ਉਨਾ ਹੀ ਵਿਲੱਖਣ ਹੈ ਜਿੰਨਾ ਉਪਭੋਗਤਾ ਨਾਮ ਸ਼ੈਡੋ ਵੁਲਫ ਵਿਲੱਖਣ ਹੈ :)

ਅਤੇ ਫਿਰ ਵੀ, ਸ਼ੈਡੋ ਬਘਿਆੜ, ਕਿਉਂ ਅਤੇ ਕਿਉਂ?

ਸਰੋਤ: www.habr.com