ਨਕਲੀ ਪੇਪਾਲ ਸਾਈਟ ਤੋਂ ਨੇਮਟੀ ਰੈਨਸਮਵੇਅਰ ਨੂੰ ਮਿਲੋ

ਨੇਮਟੀ ਨਾਮਕ ਇੱਕ ਨਵਾਂ ਰੈਨਸਮਵੇਅਰ ਨੈਟਵਰਕ ਤੇ ਪ੍ਰਗਟ ਹੋਇਆ ਹੈ, ਜੋ ਕਿ ਗ੍ਰੈਂਡਕ੍ਰੈਬ ਜਾਂ ਬੁਰਾਨ ਦਾ ਉੱਤਰਾਧਿਕਾਰੀ ਹੈ। ਮਾਲਵੇਅਰ ਮੁੱਖ ਤੌਰ 'ਤੇ ਨਕਲੀ ਪੇਪਾਲ ਵੈੱਬਸਾਈਟ ਤੋਂ ਵੰਡਿਆ ਜਾਂਦਾ ਹੈ ਅਤੇ ਇਸ ਵਿੱਚ ਕਈ ਦਿਲਚਸਪ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਹਨ। ਇਹ ਰੈਨਸਮਵੇਅਰ ਕਿਵੇਂ ਕੰਮ ਕਰਦਾ ਹੈ ਇਸ ਬਾਰੇ ਵੇਰਵੇ ਕਟੌਤੀ ਅਧੀਨ ਹਨ।

ਉਪਭੋਗਤਾ ਦੁਆਰਾ ਖੋਜਿਆ ਗਿਆ ਨਵਾਂ Nemty ransomware nao_sec ਸਤੰਬਰ 7, 2019। ਮਾਲਵੇਅਰ ਇੱਕ ਵੈਬਸਾਈਟ ਦੁਆਰਾ ਵੰਡਿਆ ਗਿਆ ਸੀ ਪੇਪਾਲ ਦੇ ਰੂਪ ਵਿੱਚ ਭੇਸ ਵਿੱਚ, ਰੈਨਸਮਵੇਅਰ ਲਈ RIG ਸ਼ੋਸ਼ਣ ਕਿੱਟ ਰਾਹੀਂ ਕੰਪਿਊਟਰ ਵਿੱਚ ਪ੍ਰਵੇਸ਼ ਕਰਨਾ ਵੀ ਸੰਭਵ ਹੈ। ਹਮਲਾਵਰਾਂ ਨੇ cashback.exe ਫਾਈਲ ਨੂੰ ਚਲਾਉਣ ਲਈ ਉਪਭੋਗਤਾ ਨੂੰ ਮਜਬੂਰ ਕਰਨ ਲਈ ਸੋਸ਼ਲ ਇੰਜਨੀਅਰਿੰਗ ਤਰੀਕਿਆਂ ਦੀ ਵਰਤੋਂ ਕੀਤੀ, ਜੋ ਕਿ ਉਸਨੇ ਕਥਿਤ ਤੌਰ 'ਤੇ PayPal ਵੈਬਸਾਈਟ ਤੋਂ ਪ੍ਰਾਪਤ ਕੀਤੀ ਸੀ।ਇਹ ਵੀ ਉਤਸੁਕ ਹੈ ਕਿ ਨੇਮਟੀ ਨੇ ਸਥਾਨਕ ਪ੍ਰੌਕਸੀ ਸੇਵਾ ਟੋਰ ਲਈ ਗਲਤ ਪੋਰਟ ਨਿਰਧਾਰਤ ਕੀਤਾ ਹੈ, ਜੋ ਮਾਲਵੇਅਰ ਨੂੰ ਭੇਜਣ ਤੋਂ ਰੋਕਦਾ ਹੈ। ਸਰਵਰ ਨੂੰ ਡਾਟਾ. ਇਸ ਲਈ, ਉਪਭੋਗਤਾ ਨੂੰ ਆਪਣੇ ਆਪ ਨੂੰ ਟੋਰ ਨੈਟਵਰਕ ਤੇ ਏਨਕ੍ਰਿਪਟਡ ਫਾਈਲਾਂ ਅਪਲੋਡ ਕਰਨੀਆਂ ਪੈਣਗੀਆਂ ਜੇਕਰ ਉਹ ਫਿਰੌਤੀ ਦਾ ਭੁਗਤਾਨ ਕਰਨ ਦਾ ਇਰਾਦਾ ਰੱਖਦਾ ਹੈ ਅਤੇ ਹਮਲਾਵਰਾਂ ਤੋਂ ਡੀਕ੍ਰਿਪਸ਼ਨ ਦੀ ਉਡੀਕ ਕਰਦਾ ਹੈ।

ਨੇਮਟੀ ਬਾਰੇ ਕਈ ਦਿਲਚਸਪ ਤੱਥ ਇਹ ਸੁਝਾਅ ਦਿੰਦੇ ਹਨ ਕਿ ਇਹ ਉਸੇ ਲੋਕਾਂ ਦੁਆਰਾ ਜਾਂ ਬੁਰਨ ਅਤੇ ਗ੍ਰੈਂਡਕ੍ਰੈਬ ਨਾਲ ਜੁੜੇ ਸਾਈਬਰ ਅਪਰਾਧੀਆਂ ਦੁਆਰਾ ਵਿਕਸਤ ਕੀਤਾ ਗਿਆ ਸੀ।

• ਗੈਂਡਕੈਬ ਵਾਂਗ, ਨੇਮਟੀ ਕੋਲ ਈਸਟਰ ਅੰਡਾ ਹੈ - ਇੱਕ ਅਸ਼ਲੀਲ ਮਜ਼ਾਕ ਦੇ ਨਾਲ ਰੂਸੀ ਰਾਸ਼ਟਰਪਤੀ ਵਲਾਦੀਮੀਰ ਪੁਤਿਨ ਦੀ ਫੋਟੋ ਦਾ ਲਿੰਕ। ਵਿਰਾਸਤੀ GandCrab ransomware ਵਿੱਚ ਇੱਕੋ ਟੈਕਸਟ ਨਾਲ ਇੱਕ ਚਿੱਤਰ ਸੀ।
• ਦੋਵਾਂ ਪ੍ਰੋਗਰਾਮਾਂ ਦੀਆਂ ਭਾਸ਼ਾ ਦੀਆਂ ਕਲਾਕ੍ਰਿਤੀਆਂ ਇੱਕੋ ਰੂਸੀ ਬੋਲਣ ਵਾਲੇ ਲੇਖਕਾਂ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦੀਆਂ ਹਨ।
• ਇਹ 8092-ਬਿੱਟ RSA ਕੁੰਜੀ ਦੀ ਵਰਤੋਂ ਕਰਨ ਵਾਲਾ ਪਹਿਲਾ ਰੈਨਸਮਵੇਅਰ ਹੈ। ਹਾਲਾਂਕਿ ਇਸ ਵਿੱਚ ਕੋਈ ਬਿੰਦੂ ਨਹੀਂ ਹੈ: ਇੱਕ 1024-ਬਿੱਟ ਕੁੰਜੀ ਹੈਕਿੰਗ ਤੋਂ ਬਚਾਉਣ ਲਈ ਕਾਫ਼ੀ ਹੈ।
• ਬੁਰਾਨ ਵਾਂਗ, ਰੈਨਸਮਵੇਅਰ ਨੂੰ ਆਬਜੈਕਟ ਪਾਸਕਲ ਵਿੱਚ ਲਿਖਿਆ ਗਿਆ ਹੈ ਅਤੇ ਬੋਰਲੈਂਡ ਡੇਲਫੀ ਵਿੱਚ ਕੰਪਾਇਲ ਕੀਤਾ ਗਿਆ ਹੈ।

ਸਥਿਰ ਵਿਸ਼ਲੇਸ਼ਣ

ਖਤਰਨਾਕ ਕੋਡ ਦਾ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਚਾਰ ਪੜਾਵਾਂ ਵਿੱਚ ਹੁੰਦਾ ਹੈ। ਪਹਿਲਾ ਕਦਮ ਹੈ cashback.exe ਨੂੰ ਚਲਾਉਣਾ, 32 ਬਾਈਟਸ ਦੇ ਆਕਾਰ ਦੇ ਨਾਲ MS Windows ਦੇ ਅਧੀਨ ਇੱਕ PE1198936 ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਫਾਈਲ। ਇਸਦਾ ਕੋਡ ਵਿਜ਼ੂਅਲ C++ ਵਿੱਚ ਲਿਖਿਆ ਗਿਆ ਸੀ ਅਤੇ ਅਕਤੂਬਰ 14, 2013 ਨੂੰ ਕੰਪਾਇਲ ਕੀਤਾ ਗਿਆ ਸੀ। ਇਸ ਵਿੱਚ ਇੱਕ ਆਰਕਾਈਵ ਹੁੰਦਾ ਹੈ ਜੋ ਤੁਹਾਡੇ ਵੱਲੋਂ cashback.exe ਚਲਾਉਣ 'ਤੇ ਆਪਣੇ ਆਪ ਅਨਪੈਕ ਹੋ ਜਾਂਦਾ ਹੈ। ਸਾਫਟਵੇਅਰ .cab ਆਰਕਾਈਵ ਤੋਂ ਫਾਈਲਾਂ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ Cabinet.dll ਲਾਇਬ੍ਰੇਰੀ ਅਤੇ ਇਸਦੇ ਫੰਕਸ਼ਨਾਂ FDICreate(), FDIDestroy() ਅਤੇ ਹੋਰਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ।

SHA-256: A127323192ABED93AED53648D03CA84DE3B5B006B641033EB46A520B7A3C16FC

ਆਰਕਾਈਵ ਨੂੰ ਅਨਪੈਕ ਕਰਨ ਤੋਂ ਬਾਅਦ, ਤਿੰਨ ਫਾਈਲਾਂ ਦਿਖਾਈ ਦੇਣਗੀਆਂ.

ਅੱਗੇ, temp.exe ਨੂੰ ਲਾਂਚ ਕੀਤਾ ਗਿਆ ਹੈ, 32 ਬਾਈਟਸ ਦੇ ਆਕਾਰ ਦੇ ਨਾਲ MS Windows ਦੇ ਅਧੀਨ ਇੱਕ PE307200 ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਫਾਈਲ। ਕੋਡ ਵਿਜ਼ੂਅਲ C++ ਵਿੱਚ ਲਿਖਿਆ ਗਿਆ ਹੈ ਅਤੇ MPRESS ਪੈਕਰ, UPX ਵਰਗਾ ਇੱਕ ਪੈਕਰ ਨਾਲ ਪੈਕ ਕੀਤਾ ਗਿਆ ਹੈ।

SHA-256: EBDBA4B1D1DE65A1C6B14012B674E7FA7F8C5F5A8A5A2A9C3C338F02DD726AAD

ਅਗਲਾ ਕਦਮ ironman.exe ਹੈ। ਇੱਕ ਵਾਰ ਲਾਂਚ ਹੋਣ ਤੋਂ ਬਾਅਦ, temp.exe ਏਮਬੈਡ ਕੀਤੇ ਡੇਟਾ ਨੂੰ ਟੈਂਪ ਵਿੱਚ ਡੀਕ੍ਰਿਪਟ ਕਰਦਾ ਹੈ ਅਤੇ ਇਸਦਾ ਨਾਮ ਬਦਲ ਕੇ ironman.exe, ਇੱਕ 32 ਬਾਈਟ PE544768 ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਫਾਈਲ ਰੱਖਦਾ ਹੈ। ਕੋਡ ਬੋਰਲੈਂਡ ਡੇਲਫੀ ਵਿੱਚ ਕੰਪਾਇਲ ਕੀਤਾ ਗਿਆ ਹੈ।

SHA-256: 2C41B93ADD9AC5080A12BF93966470F8AB3BDE003001492A10F63758867F2A88

ਆਖਰੀ ਕਦਮ ironman.exe ਫਾਈਲ ਨੂੰ ਮੁੜ ਚਾਲੂ ਕਰਨਾ ਹੈ। ਰਨਟਾਈਮ 'ਤੇ, ਇਹ ਆਪਣੇ ਕੋਡ ਨੂੰ ਬਦਲਦਾ ਹੈ ਅਤੇ ਮੈਮੋਰੀ ਤੋਂ ਆਪਣੇ ਆਪ ਨੂੰ ਚਲਾਉਂਦਾ ਹੈ। ironman.exe ਦਾ ਇਹ ਸੰਸਕਰਣ ਖਤਰਨਾਕ ਹੈ ਅਤੇ ਐਨਕ੍ਰਿਪਸ਼ਨ ਲਈ ਜ਼ਿੰਮੇਵਾਰ ਹੈ।

ਹਮਲਾ ਵੈਕਟਰ

ਵਰਤਮਾਨ ਵਿੱਚ, ਨੇਮਟੀ ਰੈਨਸਮਵੇਅਰ ਵੈਬਸਾਈਟ pp-back.info ਦੁਆਰਾ ਵੰਡਿਆ ਜਾਂਦਾ ਹੈ।

ਲਾਗ ਦੀ ਪੂਰੀ ਲੜੀ 'ਤੇ ਦੇਖੀ ਜਾ ਸਕਦੀ ਹੈ app.any.run ਸੈਂਡਬਾਕਸ।

ਸੈਟਿੰਗ

Cashback.exe - ਹਮਲੇ ਦੀ ਸ਼ੁਰੂਆਤ. ਜਿਵੇਂ ਕਿ ਪਹਿਲਾਂ ਹੀ ਦੱਸਿਆ ਗਿਆ ਹੈ, cashback.exe ਇਸ ਵਿੱਚ ਮੌਜੂਦ .cab ਫਾਈਲ ਨੂੰ ਖੋਲ੍ਹਦਾ ਹੈ। ਇਹ ਫਿਰ %TEMP%IXxxx.TMP ਫਾਰਮ ਦਾ ਇੱਕ ਫੋਲਡਰ TMP4351$.TMP ਬਣਾਉਂਦਾ ਹੈ, ਜਿੱਥੇ xxx 001 ਤੋਂ 999 ਤੱਕ ਇੱਕ ਨੰਬਰ ਹੁੰਦਾ ਹੈ।

ਅੱਗੇ, ਇੱਕ ਰਜਿਸਟਰੀ ਕੁੰਜੀ ਸਥਾਪਿਤ ਕੀਤੀ ਗਈ ਹੈ, ਜੋ ਕਿ ਇਸ ਤਰ੍ਹਾਂ ਦਿਖਾਈ ਦਿੰਦੀ ਹੈ:

[HKLMSOFTWAREWOW6432NodeMicrosoftWindowsCurrentVersionRunOncewextract_cleanup0]
“rundll32.exe” “C:Windowssystem32advpack.dll,DelNodeRunDLL32 “C:UsersMALWAR~1AppDataLocalTempIXPxxx.TMP””

ਇਹ ਅਨਪੈਕ ਫਾਈਲਾਂ ਨੂੰ ਮਿਟਾਉਣ ਲਈ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ. ਅੰਤ ਵਿੱਚ, cashback.exe temp.exe ਪ੍ਰਕਿਰਿਆ ਸ਼ੁਰੂ ਕਰਦਾ ਹੈ।

Temp.exe ਲਾਗ ਚੇਨ ਦਾ ਦੂਜਾ ਪੜਾਅ ਹੈ

ਇਹ cashback.exe ਫਾਈਲ ਦੁਆਰਾ ਸ਼ੁਰੂ ਕੀਤੀ ਗਈ ਪ੍ਰਕਿਰਿਆ ਹੈ, ਵਾਇਰਸ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਦਾ ਦੂਜਾ ਪੜਾਅ। ਇਹ ਆਟੋਹੌਟਕੀ ਨੂੰ ਡਾਊਨਲੋਡ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਦਾ ਹੈ, ਵਿੰਡੋਜ਼ ਉੱਤੇ ਸਕ੍ਰਿਪਟਾਂ ਨੂੰ ਚਲਾਉਣ ਲਈ ਇੱਕ ਟੂਲ, ਅਤੇ PE ਫਾਈਲ ਦੇ ਸਰੋਤ ਭਾਗ ਵਿੱਚ ਸਥਿਤ WindowSpy.ahk ਸਕ੍ਰਿਪਟ ਨੂੰ ਚਲਾਉਣ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਦਾ ਹੈ।

WindowSpy.ahk ਸਕ੍ਰਿਪਟ RC4 ਐਲਗੋਰਿਦਮ ਅਤੇ ਪਾਸਵਰਡ IwantAcake ਦੀ ਵਰਤੋਂ ਕਰਕੇ ironman.exe ਵਿੱਚ ਟੈਂਪ ਫਾਈਲ ਨੂੰ ਡੀਕ੍ਰਿਪਟ ਕਰਦੀ ਹੈ। ਪਾਸਵਰਡ ਤੋਂ ਕੁੰਜੀ MD5 ਹੈਸ਼ਿੰਗ ਐਲਗੋਰਿਦਮ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਪ੍ਰਾਪਤ ਕੀਤੀ ਜਾਂਦੀ ਹੈ।

temp.exe ਫਿਰ ironman.exe ਪ੍ਰਕਿਰਿਆ ਨੂੰ ਕਾਲ ਕਰਦਾ ਹੈ।

Ironman.exe - ਤੀਜਾ ਕਦਮ

Ironman.exe iron.bmp ਫਾਈਲ ਦੀਆਂ ਸਮੱਗਰੀਆਂ ਨੂੰ ਪੜ੍ਹਦਾ ਹੈ ਅਤੇ ਇੱਕ ਕ੍ਰਿਪਟੋਲੋਕਰ ਨਾਲ ਇੱਕ iron.txt ਫਾਈਲ ਬਣਾਉਂਦਾ ਹੈ ਜੋ ਅੱਗੇ ਲਾਂਚ ਕੀਤਾ ਜਾਵੇਗਾ।

ਇਸ ਤੋਂ ਬਾਅਦ, ਵਾਇਰਸ iron.txt ਨੂੰ ਮੈਮੋਰੀ ਵਿੱਚ ਲੋਡ ਕਰਦਾ ਹੈ ਅਤੇ ਇਸਨੂੰ ironman.exe ਦੇ ਰੂਪ ਵਿੱਚ ਰੀਸਟਾਰਟ ਕਰਦਾ ਹੈ। ਇਸ ਤੋਂ ਬਾਅਦ, iron.txt ਨੂੰ ਮਿਟਾਇਆ ਜਾਂਦਾ ਹੈ।

ironman.exe NEMTY ransomware ਦਾ ਮੁੱਖ ਹਿੱਸਾ ਹੈ, ਜੋ ਪ੍ਰਭਾਵਿਤ ਕੰਪਿਊਟਰ 'ਤੇ ਫਾਈਲਾਂ ਨੂੰ ਐਨਕ੍ਰਿਪਟ ਕਰਦਾ ਹੈ। ਮਾਲਵੇਅਰ ਇੱਕ ਮਿਊਟੈਕਸ ਬਣਾਉਂਦਾ ਹੈ ਜਿਸਨੂੰ ਨਫ਼ਰਤ ਕਿਹਾ ਜਾਂਦਾ ਹੈ।

ਸਭ ਤੋਂ ਪਹਿਲਾਂ ਇਹ ਕੰਪਿਊਟਰ ਦੀ ਭੂਗੋਲਿਕ ਸਥਿਤੀ ਨੂੰ ਨਿਰਧਾਰਤ ਕਰਦਾ ਹੈ। Nemty ਬ੍ਰਾਊਜ਼ਰ ਖੋਲ੍ਹਦਾ ਹੈ ਅਤੇ IP ਨੂੰ ਲੱਭਦਾ ਹੈ http://api.ipify.org. ਸਾਈਟ 'ਤੇ api.db-ip.com/v2/free[IP]/countryName ਦੇਸ਼ ਨੂੰ ਪ੍ਰਾਪਤ ਹੋਏ IP ਤੋਂ ਨਿਰਧਾਰਿਤ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਅਤੇ ਜੇਕਰ ਕੰਪਿਊਟਰ ਹੇਠਾਂ ਸੂਚੀਬੱਧ ਖੇਤਰਾਂ ਵਿੱਚੋਂ ਇੱਕ ਵਿੱਚ ਸਥਿਤ ਹੈ, ਤਾਂ ਮਾਲਵੇਅਰ ਕੋਡ ਦਾ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਰੁਕ ਜਾਂਦਾ ਹੈ:

• ਰੂਸ
• ਬੇਲਾਰੂਸ
• ਯੂਕਰੇਨ
• ਕਜ਼ਾਕਿਸਤਾਨ
• ਤਜ਼ਾਕਿਸਤਾਨ

ਜ਼ਿਆਦਾਤਰ ਸੰਭਾਵਨਾ ਹੈ, ਡਿਵੈਲਪਰ ਆਪਣੇ ਨਿਵਾਸ ਦੇ ਦੇਸ਼ਾਂ ਵਿੱਚ ਕਾਨੂੰਨ ਲਾਗੂ ਕਰਨ ਵਾਲੀਆਂ ਏਜੰਸੀਆਂ ਦਾ ਧਿਆਨ ਖਿੱਚਣਾ ਨਹੀਂ ਚਾਹੁੰਦੇ ਹਨ, ਅਤੇ ਇਸਲਈ ਉਹਨਾਂ ਦੇ "ਘਰ" ਦੇ ਅਧਿਕਾਰ ਖੇਤਰਾਂ ਵਿੱਚ ਫਾਈਲਾਂ ਨੂੰ ਐਨਕ੍ਰਿਪਟ ਨਹੀਂ ਕਰਦੇ ਹਨ।

ਜੇਕਰ ਪੀੜਤ ਦਾ IP ਪਤਾ ਉਪਰੋਕਤ ਸੂਚੀ ਨਾਲ ਸਬੰਧਤ ਨਹੀਂ ਹੈ, ਤਾਂ ਵਾਇਰਸ ਉਪਭੋਗਤਾ ਦੀ ਜਾਣਕਾਰੀ ਨੂੰ ਐਨਕ੍ਰਿਪਟ ਕਰਦਾ ਹੈ।

ਫਾਈਲ ਰਿਕਵਰੀ ਨੂੰ ਰੋਕਣ ਲਈ, ਉਹਨਾਂ ਦੀਆਂ ਸ਼ੈਡੋ ਕਾਪੀਆਂ ਨੂੰ ਮਿਟਾ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ:

ਇਹ ਫਿਰ ਫਾਈਲਾਂ ਅਤੇ ਫੋਲਡਰਾਂ ਦੀ ਇੱਕ ਸੂਚੀ ਬਣਾਉਂਦਾ ਹੈ ਜੋ ਏਨਕ੍ਰਿਪਟ ਨਹੀਂ ਕੀਤੇ ਜਾਣਗੇ, ਨਾਲ ਹੀ ਫਾਈਲ ਐਕਸਟੈਂਸ਼ਨਾਂ ਦੀ ਇੱਕ ਸੂਚੀ.

• ਵਿੰਡੋਜ਼ ਨੂੰ
• $RECYCLE.BIN
• RSA
• NTDETECT.COM
• ਆਦਿ
• MSDOS.SYS
• ਆਈ.ਓ.ਐਸ.ਵਾਈ.ਐਸ
• boot.ini AUTOEXEC.BAT ntuser.dat
• desktop.ini
• SYS ਕੌਂਫਿਗ।
• BOOTSECT.BAK
• ਬੂਟਮਗ੍ਰਾ
• ਪ੍ਰੋਗਰਾਮ ਡਾਟਾ
• ਐਪਲੀਕੇਸ਼ ਨੂੰ ਡਾਟਾ
• osoft
• ਆਮ ਫਾਈਲਾਂ

log LOG CAB cab CMD cmd COM com cpl
CPL exe EXE ini INI dll DDL lnk LNK url
URL ttf TTF DECRYPT.txt NEMTY 

ਉਲਝਣਾ

URL ਅਤੇ ਏਮਬੈਡਡ ਕੌਂਫਿਗਰੇਸ਼ਨ ਡੇਟਾ ਨੂੰ ਲੁਕਾਉਣ ਲਈ, Nemty fuckav ਕੀਵਰਡ ਦੇ ਨਾਲ ਇੱਕ base64 ਅਤੇ RC4 ਏਨਕੋਡਿੰਗ ਐਲਗੋਰਿਦਮ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ।

CryptStringToBinary ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਡੀਕ੍ਰਿਪਸ਼ਨ ਪ੍ਰਕਿਰਿਆ ਹੇਠਾਂ ਦਿੱਤੀ ਗਈ ਹੈ

ਇਨਕ੍ਰਿਪਸ਼ਨ

Nemty ਤਿੰਨ-ਲੇਅਰ ਐਨਕ੍ਰਿਪਸ਼ਨ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ:

• ਫਾਈਲਾਂ ਲਈ AES-128-CBC। 128-ਬਿੱਟ AES ਕੁੰਜੀ ਬੇਤਰਤੀਬੇ ਤੌਰ 'ਤੇ ਤਿਆਰ ਕੀਤੀ ਜਾਂਦੀ ਹੈ ਅਤੇ ਸਾਰੀਆਂ ਫਾਈਲਾਂ ਲਈ ਇੱਕੋ ਜਿਹੀ ਵਰਤੀ ਜਾਂਦੀ ਹੈ। ਇਹ ਉਪਭੋਗਤਾ ਦੇ ਕੰਪਿਊਟਰ ਉੱਤੇ ਇੱਕ ਸੰਰਚਨਾ ਫਾਈਲ ਵਿੱਚ ਸਟੋਰ ਕੀਤਾ ਜਾਂਦਾ ਹੈ। IV ਹਰ ਇੱਕ ਫਾਈਲ ਲਈ ਬੇਤਰਤੀਬ ਢੰਗ ਨਾਲ ਤਿਆਰ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਅਤੇ ਇੱਕ ਐਨਕ੍ਰਿਪਟਡ ਫਾਈਲ ਵਿੱਚ ਸਟੋਰ ਕੀਤਾ ਜਾਂਦਾ ਹੈ।
• ਫਾਈਲ ਐਨਕ੍ਰਿਪਸ਼ਨ IV ਲਈ RSA-2048। ਸੈਸ਼ਨ ਲਈ ਇੱਕ ਕੁੰਜੀ ਜੋੜਾ ਤਿਆਰ ਕੀਤਾ ਗਿਆ ਹੈ। ਸੈਸ਼ਨ ਲਈ ਪ੍ਰਾਈਵੇਟ ਕੁੰਜੀ ਉਪਭੋਗਤਾ ਦੇ ਕੰਪਿਊਟਰ 'ਤੇ ਇੱਕ ਸੰਰਚਨਾ ਫਾਈਲ ਵਿੱਚ ਸਟੋਰ ਕੀਤੀ ਜਾਂਦੀ ਹੈ।
• RSA-8192. ਮਾਸਟਰ ਪਬਲਿਕ ਕੁੰਜੀ ਨੂੰ ਪ੍ਰੋਗਰਾਮ ਵਿੱਚ ਬਣਾਇਆ ਗਿਆ ਹੈ ਅਤੇ ਇਸਦੀ ਵਰਤੋਂ ਸੰਰਚਨਾ ਫਾਈਲ ਨੂੰ ਐਨਕ੍ਰਿਪਟ ਕਰਨ ਲਈ ਕੀਤੀ ਜਾਂਦੀ ਹੈ, ਜੋ RSA-2048 ਸੈਸ਼ਨ ਲਈ AES ਕੁੰਜੀ ਅਤੇ ਗੁਪਤ ਕੁੰਜੀ ਨੂੰ ਸਟੋਰ ਕਰਦੀ ਹੈ।
• Nemty ਪਹਿਲਾਂ 32 ਬਾਈਟ ਬੇਤਰਤੀਬੇ ਡੇਟਾ ਤਿਆਰ ਕਰਦਾ ਹੈ। ਪਹਿਲੇ 16 ਬਾਈਟਾਂ ਨੂੰ AES-128-CBC ਕੁੰਜੀ ਵਜੋਂ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ।

ਦੂਜਾ ਇਨਕ੍ਰਿਪਸ਼ਨ ਐਲਗੋਰਿਦਮ RSA-2048 ਹੈ। ਕੁੰਜੀ ਜੋੜਾ CryptGenKey() ਫੰਕਸ਼ਨ ਦੁਆਰਾ ਤਿਆਰ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਅਤੇ CryptImportKey() ਫੰਕਸ਼ਨ ਦੁਆਰਾ ਆਯਾਤ ਕੀਤਾ ਜਾਂਦਾ ਹੈ।

ਇੱਕ ਵਾਰ ਸੈਸ਼ਨ ਲਈ ਕੁੰਜੀ ਜੋੜਾ ਤਿਆਰ ਹੋਣ ਤੋਂ ਬਾਅਦ, ਜਨਤਕ ਕੁੰਜੀ ਨੂੰ MS ਕ੍ਰਿਪਟੋਗ੍ਰਾਫਿਕ ਸੇਵਾ ਪ੍ਰਦਾਤਾ ਵਿੱਚ ਆਯਾਤ ਕੀਤਾ ਜਾਂਦਾ ਹੈ।

ਸੈਸ਼ਨ ਲਈ ਤਿਆਰ ਕੀਤੀ ਜਨਤਕ ਕੁੰਜੀ ਦੀ ਇੱਕ ਉਦਾਹਰਨ:

ਅੱਗੇ, ਪ੍ਰਾਈਵੇਟ ਕੁੰਜੀ ਨੂੰ CSP ਵਿੱਚ ਆਯਾਤ ਕੀਤਾ ਜਾਂਦਾ ਹੈ।

ਇੱਕ ਸੈਸ਼ਨ ਲਈ ਤਿਆਰ ਕੀਤੀ ਨਿੱਜੀ ਕੁੰਜੀ ਦੀ ਇੱਕ ਉਦਾਹਰਨ:

ਅਤੇ ਆਖਰੀ ਆਉਂਦਾ ਹੈ RSA-8192. ਮੁੱਖ ਜਨਤਕ ਕੁੰਜੀ ਨੂੰ PE ਫਾਈਲ ਦੇ .data ਭਾਗ ਵਿੱਚ ਐਨਕ੍ਰਿਪਟਡ ਰੂਪ (Base64 + RC4) ਵਿੱਚ ਸਟੋਰ ਕੀਤਾ ਜਾਂਦਾ ਹੈ।

Fuckav ਪਾਸਵਰਡ ਨਾਲ base8192 ਡੀਕੋਡਿੰਗ ਅਤੇ RC64 ਡੀਕ੍ਰਿਪਸ਼ਨ ਤੋਂ ਬਾਅਦ RSA-4 ਕੁੰਜੀ ਇਸ ਤਰ੍ਹਾਂ ਦਿਖਾਈ ਦਿੰਦੀ ਹੈ।

ਨਤੀਜੇ ਵਜੋਂ, ਪੂਰੀ ਏਨਕ੍ਰਿਪਸ਼ਨ ਪ੍ਰਕਿਰਿਆ ਇਸ ਤਰ੍ਹਾਂ ਦਿਖਾਈ ਦਿੰਦੀ ਹੈ:

• ਇੱਕ 128-ਬਿੱਟ AES ਕੁੰਜੀ ਤਿਆਰ ਕਰੋ ਜੋ ਸਾਰੀਆਂ ਫਾਈਲਾਂ ਨੂੰ ਐਨਕ੍ਰਿਪਟ ਕਰਨ ਲਈ ਵਰਤੀ ਜਾਵੇਗੀ।
• ਹਰੇਕ ਫਾਈਲ ਲਈ ਇੱਕ IV ਬਣਾਓ।
• ਇੱਕ RSA-2048 ਸੈਸ਼ਨ ਲਈ ਇੱਕ ਮੁੱਖ ਜੋੜਾ ਬਣਾਉਣਾ।
• ਬੇਸ8192 ਅਤੇ RC64 ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਮੌਜੂਦਾ RSA-4 ਕੁੰਜੀ ਦਾ ਡੀਕ੍ਰਿਪਸ਼ਨ।
• ਪਹਿਲੇ ਪੜਾਅ ਤੋਂ AES-128-CBC ਐਲਗੋਰਿਦਮ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਫਾਈਲ ਸਮੱਗਰੀਆਂ ਨੂੰ ਐਨਕ੍ਰਿਪਟ ਕਰੋ।
• RSA-2048 ਪਬਲਿਕ ਕੁੰਜੀ ਅਤੇ ਬੇਸ64 ਏਨਕੋਡਿੰਗ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ IV ਇਨਕ੍ਰਿਪਸ਼ਨ।
• ਹਰੇਕ ਇਨਕ੍ਰਿਪਟਡ ਫਾਈਲ ਦੇ ਅੰਤ ਵਿੱਚ ਇੱਕ ਐਨਕ੍ਰਿਪਟਡ IV ਜੋੜਨਾ।
• ਸੰਰਚਨਾ ਵਿੱਚ ਇੱਕ AES ਕੁੰਜੀ ਅਤੇ RSA-2048 ਸੈਸ਼ਨ ਪ੍ਰਾਈਵੇਟ ਕੁੰਜੀ ਜੋੜਨਾ।
• ਸੈਕਸ਼ਨ ਵਿੱਚ ਵਰਣਨ ਕੀਤਾ ਗਿਆ ਸੰਰਚਨਾ ਡੇਟਾ ਜਾਣਕਾਰੀ ਇਕੱਠੀ ਕਰਨਾ ਸੰਕਰਮਿਤ ਕੰਪਿਊਟਰ ਬਾਰੇ ਮੁੱਖ ਜਨਤਕ ਕੁੰਜੀ RSA-8192 ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਏਨਕ੍ਰਿਪਟ ਕੀਤੇ ਗਏ ਹਨ।
• ਐਨਕ੍ਰਿਪਟਡ ਫਾਈਲ ਇਸ ਤਰ੍ਹਾਂ ਦਿਖਾਈ ਦਿੰਦੀ ਹੈ:

ਏਨਕ੍ਰਿਪਟਡ ਫਾਈਲਾਂ ਦੀ ਉਦਾਹਰਨ:

ਲਾਗ ਵਾਲੇ ਕੰਪਿਊਟਰ ਬਾਰੇ ਜਾਣਕਾਰੀ ਇਕੱਠੀ ਕੀਤੀ ਜਾ ਰਹੀ ਹੈ

ਰੈਨਸਮਵੇਅਰ ਸੰਕਰਮਿਤ ਫਾਈਲਾਂ ਨੂੰ ਡੀਕ੍ਰਿਪਟ ਕਰਨ ਲਈ ਕੁੰਜੀਆਂ ਇਕੱਠੀਆਂ ਕਰਦਾ ਹੈ, ਇਸ ਲਈ ਹਮਲਾਵਰ ਅਸਲ ਵਿੱਚ ਇੱਕ ਡੀਕ੍ਰਿਪਟਰ ਬਣਾ ਸਕਦਾ ਹੈ। ਇਸ ਤੋਂ ਇਲਾਵਾ, ਨੇਮਟੀ ਉਪਭੋਗਤਾ ਡੇਟਾ ਜਿਵੇਂ ਕਿ ਉਪਭੋਗਤਾ ਨਾਮ, ਕੰਪਿਊਟਰ ਨਾਮ, ਹਾਰਡਵੇਅਰ ਪ੍ਰੋਫਾਈਲ ਇਕੱਠਾ ਕਰਦਾ ਹੈ।

ਇਹ ਲਾਗ ਵਾਲੇ ਕੰਪਿਊਟਰ ਦੀਆਂ ਡਰਾਈਵਾਂ ਬਾਰੇ ਜਾਣਕਾਰੀ ਇਕੱਠੀ ਕਰਨ ਲਈ GetLogicalDrives(), GetFreeSpace(), GetDriveType() ਫੰਕਸ਼ਨਾਂ ਨੂੰ ਕਾਲ ਕਰਦਾ ਹੈ।

ਇਕੱਠੀ ਕੀਤੀ ਜਾਣਕਾਰੀ ਨੂੰ ਇੱਕ ਸੰਰਚਨਾ ਫਾਇਲ ਵਿੱਚ ਸਟੋਰ ਕੀਤਾ ਗਿਆ ਹੈ. ਸਤਰ ਨੂੰ ਡੀਕੋਡ ਕਰਨ ਤੋਂ ਬਾਅਦ, ਸਾਨੂੰ ਸੰਰਚਨਾ ਫਾਈਲ ਵਿੱਚ ਪੈਰਾਮੀਟਰਾਂ ਦੀ ਸੂਚੀ ਮਿਲਦੀ ਹੈ:

ਸੰਕਰਮਿਤ ਕੰਪਿਊਟਰ ਦੀ ਉਦਾਹਰਨ ਸੰਰਚਨਾ:

ਸੰਰਚਨਾ ਟੈਂਪਲੇਟ ਨੂੰ ਇਸ ਤਰ੍ਹਾਂ ਦਰਸਾਇਆ ਜਾ ਸਕਦਾ ਹੈ:

{"ਆਮ": {"IP":"[IP]", "ਦੇਸ਼":"[ਦੇਸ਼]", "ਕੰਪਿਊਟਰਨਾਮ":"[ਕੰਪਿਊਟਰਨਾਮ]", "ਉਪਭੋਗਤਾ ਨਾਮ":"[ਉਪਭੋਗਤਾ ਨਾਮ]", "ਓਐਸ": "[OS]", "isRU":false, "version":"1.4", "CompID":"{[CompID]}", "FileID":"_NEMTY_[FileID]_", "UserID":"[ UserID]", "key":"[key]", "pr_key":"[pr_key]

Nemty %USER%/_NEMTY_.nemty ਫਾਈਲ ਵਿੱਚ JSON ਫਾਰਮੈਟ ਵਿੱਚ ਇਕੱਤਰ ਕੀਤੇ ਡੇਟਾ ਨੂੰ ਸਟੋਰ ਕਰਦਾ ਹੈ। FileID 7 ਅੱਖਰ ਲੰਬਾ ਹੈ ਅਤੇ ਬੇਤਰਤੀਬੇ ਤੌਰ 'ਤੇ ਤਿਆਰ ਕੀਤਾ ਗਿਆ ਹੈ। ਉਦਾਹਰਨ ਲਈ: _NEMTY_tgdLYrd_.nemty। ਫਾਈਲ ਆਈਡੀ ਨੂੰ ਐਨਕ੍ਰਿਪਟਡ ਫਾਈਲ ਦੇ ਅੰਤ ਵਿੱਚ ਵੀ ਜੋੜਿਆ ਜਾਂਦਾ ਹੈ।

ਰਿਹਾਈ ਦਾ ਸੁਨੇਹਾ

ਫਾਈਲਾਂ ਨੂੰ ਐਨਕ੍ਰਿਪਟ ਕਰਨ ਤੋਂ ਬਾਅਦ, ਫਾਈਲ _NEMTY_[FileID]-DECRYPT.txt ਡੈਸਕਟਾਪ 'ਤੇ ਹੇਠਾਂ ਦਿੱਤੀ ਸਮੱਗਰੀ ਦੇ ਨਾਲ ਦਿਖਾਈ ਦਿੰਦੀ ਹੈ:

ਫਾਈਲ ਦੇ ਅੰਤ ਵਿੱਚ ਲਾਗ ਵਾਲੇ ਕੰਪਿਊਟਰ ਬਾਰੇ ਐਨਕ੍ਰਿਪਟਡ ਜਾਣਕਾਰੀ ਹੈ।

ਨੈੱਟਵਰਕ ਸੰਚਾਰ

ironman.exe ਪ੍ਰਕਿਰਿਆ ਪਤੇ ਤੋਂ ਟੋਰ ਬਰਾਊਜ਼ਰ ਡਿਸਟ੍ਰੀਬਿਊਸ਼ਨ ਨੂੰ ਡਾਊਨਲੋਡ ਕਰਦੀ ਹੈ https://dist.torproject.org/torbrowser/8.5.4/tor-win32-0.4.0.5.zip ਅਤੇ ਇਸਨੂੰ ਸਥਾਪਿਤ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਦਾ ਹੈ।

Nemty ਫਿਰ 127.0.0.1:9050 'ਤੇ ਕੌਂਫਿਗਰੇਸ਼ਨ ਡੇਟਾ ਭੇਜਣ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਦਾ ਹੈ, ਜਿੱਥੇ ਇਹ ਇੱਕ ਕੰਮ ਕਰਨ ਵਾਲੇ ਟੋਰ ਬ੍ਰਾਊਜ਼ਰ ਪ੍ਰੌਕਸੀ ਨੂੰ ਲੱਭਣ ਦੀ ਉਮੀਦ ਕਰਦਾ ਹੈ। ਹਾਲਾਂਕਿ, ਮੂਲ ਰੂਪ ਵਿੱਚ ਟੋਰ ਪ੍ਰੌਕਸੀ ਪੋਰਟ 9150 'ਤੇ ਸੁਣਦੀ ਹੈ, ਅਤੇ ਪੋਰਟ 9050 ਦੀ ਵਰਤੋਂ ਲੀਨਕਸ 'ਤੇ ਟੋਰ ਡੈਮਨ ਜਾਂ ਵਿੰਡੋਜ਼ 'ਤੇ ਮਾਹਰ ਬੰਡਲ ਦੁਆਰਾ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। ਇਸ ਤਰ੍ਹਾਂ, ਹਮਲਾਵਰ ਦੇ ਸਰਵਰ ਨੂੰ ਕੋਈ ਡਾਟਾ ਨਹੀਂ ਭੇਜਿਆ ਜਾਂਦਾ ਹੈ। ਇਸ ਦੀ ਬਜਾਏ, ਯੂਜ਼ਰ ਫਿਰੌਤੀ ਸੰਦੇਸ਼ ਵਿੱਚ ਦਿੱਤੇ ਗਏ ਲਿੰਕ ਰਾਹੀਂ ਟੋਰ ਡੀਕ੍ਰਿਪਸ਼ਨ ਸੇਵਾ 'ਤੇ ਜਾ ਕੇ ਸੰਰਚਨਾ ਫਾਈਲ ਨੂੰ ਹੱਥੀਂ ਡਾਊਨਲੋਡ ਕਰ ਸਕਦਾ ਹੈ।

ਟੋਰ ਪ੍ਰੌਕਸੀ ਨਾਲ ਜੁੜ ਰਿਹਾ ਹੈ:

HTTP GET 127.0.0.1:9050/public/gate?data= ਲਈ ਇੱਕ ਬੇਨਤੀ ਬਣਾਉਂਦਾ ਹੈ

ਇੱਥੇ ਤੁਸੀਂ ਓਪਨ TCP ਪੋਰਟਾਂ ਨੂੰ ਦੇਖ ਸਕਦੇ ਹੋ ਜੋ TORlocal ਪ੍ਰੌਕਸੀ ਦੁਆਰਾ ਵਰਤੇ ਜਾਂਦੇ ਹਨ:

ਟੋਰ ਨੈੱਟਵਰਕ 'ਤੇ ਨੇਮਟੀ ਡੀਕ੍ਰਿਪਸ਼ਨ ਸੇਵਾ:

ਤੁਸੀਂ ਡੀਕ੍ਰਿਪਸ਼ਨ ਸੇਵਾ ਦੀ ਜਾਂਚ ਕਰਨ ਲਈ ਇੱਕ ਐਨਕ੍ਰਿਪਟਡ ਫੋਟੋ (jpg, png, bmp) ਅੱਪਲੋਡ ਕਰ ਸਕਦੇ ਹੋ।

ਇਸ ਤੋਂ ਬਾਅਦ ਹਮਲਾਵਰ ਫਿਰੌਤੀ ਮੰਗਦਾ ਹੈ। ਭੁਗਤਾਨ ਨਾ ਕਰਨ ਦੀ ਸੂਰਤ ਵਿੱਚ ਕੀਮਤ ਦੁੱਗਣੀ ਕਰ ਦਿੱਤੀ ਜਾਂਦੀ ਹੈ।

ਸਿੱਟਾ

ਇਸ ਸਮੇਂ, Nemty ਦੁਆਰਾ ਐਨਕ੍ਰਿਪਟ ਕੀਤੀਆਂ ਫਾਈਲਾਂ ਨੂੰ ਫਿਰੌਤੀ ਦਾ ਭੁਗਤਾਨ ਕੀਤੇ ਬਿਨਾਂ ਡੀਕ੍ਰਿਪਟ ਕਰਨਾ ਸੰਭਵ ਨਹੀਂ ਹੈ। ransomware ਦੇ ਇਸ ਸੰਸਕਰਣ ਵਿੱਚ Buran ransomware ਅਤੇ ਪੁਰਾਣੇ GandCrab ਦੇ ਨਾਲ ਆਮ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਹਨ: ਬੋਰਲੈਂਡ ਡੇਲਫੀ ਵਿੱਚ ਸੰਕਲਨ ਅਤੇ ਸਮਾਨ ਟੈਕਸਟ ਵਾਲੀਆਂ ਤਸਵੀਰਾਂ। ਇਸ ਤੋਂ ਇਲਾਵਾ, ਇਹ ਪਹਿਲਾ ਐਨਕ੍ਰਿਪਟਰ ਹੈ ਜੋ ਇੱਕ 8092-ਬਿੱਟ RSA ਕੁੰਜੀ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ, ਜੋ ਕਿ ਦੁਬਾਰਾ, ਕੋਈ ਅਰਥ ਨਹੀਂ ਰੱਖਦਾ, ਕਿਉਂਕਿ ਇੱਕ 1024-ਬਿੱਟ ਕੁੰਜੀ ਸੁਰੱਖਿਆ ਲਈ ਕਾਫੀ ਹੈ। ਅੰਤ ਵਿੱਚ, ਅਤੇ ਦਿਲਚਸਪ ਗੱਲ ਇਹ ਹੈ ਕਿ ਇਹ ਸਥਾਨਕ ਟੋਰ ਪ੍ਰੌਕਸੀ ਸੇਵਾ ਲਈ ਗਲਤ ਪੋਰਟ ਦੀ ਵਰਤੋਂ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਦਾ ਹੈ.

ਹਾਲਾਂਕਿ, ਹੱਲ ਐਕ੍ਰੋਨਿਸ ਬੈਕਅੱਪ и ਅਕਰੋਨਸ ਸੱਚੀ ਤਸਵੀਰ Nemty ransomware ਨੂੰ ਉਪਭੋਗਤਾ ਪੀਸੀ ਅਤੇ ਡੇਟਾ ਤੱਕ ਪਹੁੰਚਣ ਤੋਂ ਰੋਕਦਾ ਹੈ, ਅਤੇ ਪ੍ਰਦਾਤਾ ਆਪਣੇ ਗਾਹਕਾਂ ਦੀ ਸੁਰੱਖਿਆ ਕਰ ਸਕਦੇ ਹਨ ਐਕ੍ਰੋਨਿਸ ਬੈਕਅੱਪ ਕਲਾਊਡ. ਪੂਰਾ ਸਾਈਬਰ ਸੁਰੱਖਿਆ ਨਾ ਸਿਰਫ਼ ਬੈਕਅੱਪ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ, ਸਗੋਂ ਇਸਦੀ ਵਰਤੋਂ ਨਾਲ ਸੁਰੱਖਿਆ ਵੀ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ ਐਕ੍ਰੋਨਿਸ ਐਕਟਿਵ ਪ੍ਰੋਟੈਕਸ਼ਨ, ਆਰਟੀਫੀਸ਼ੀਅਲ ਇੰਟੈਲੀਜੈਂਸ ਅਤੇ ਵਿਵਹਾਰਿਕ ਹਿਉਰਿਸਟਿਕਸ 'ਤੇ ਅਧਾਰਤ ਇੱਕ ਵਿਸ਼ੇਸ਼ ਤਕਨਾਲੋਜੀ ਜੋ ਤੁਹਾਨੂੰ ਅਜੇ ਤੱਕ ਅਣਜਾਣ ਮਾਲਵੇਅਰ ਨੂੰ ਬੇਅਸਰ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦੀ ਹੈ।

ਸਰੋਤ: www.habr.com