Ibland vill man verkligen se en virusförfattares ögon och frÄga: varför och hur? Om vi kan hantera frÄgan "hur" sjÀlva, sÄ skulle det vara vÀldigt intressant att fÄ veta vad som gick genom tankarna hos den eller den skaparen av skadlig programvara. SÀrskilt nÀr vi stöter pÄ sÄdana "pÀrlor".
HjÀlten i dagens artikel Àr ett intressant exempel pÄ en ransomware. Det verkar som om det var avsett att vara en annan "utpressare", men dess tekniska genomförande liknar mer en illvillig skÀmt. Det Àr just om detta genomförande vi kommer att prata idag.
TyvĂ€rr Ă€r det nĂ€stan omöjligt att spĂ„ra livscykeln för den hĂ€r kodaren â alltför lite statistik finns tillgĂ€nglig eftersom den, tack och lov, inte har fĂ„tt nĂ„gon spridning. DĂ€rför lĂ€mnar vi ursprunget, infekteringsmetoder och andra nĂ€mningar utanför. Vi kommer endast att berĂ€tta om vĂ„rt fall av att ha trĂ€ffat Wulfric Ransomware och hur vi hjĂ€lpte en anvĂ€ndare att rĂ€dda sina filer.
I. Hur allt började
VÄr antiviruslaboratorium fÄr ofta förfrÄgningar frÄn mÀnniskor som har drabbats av ransomware. Vi erbjuder hjÀlp oavsett vilka antivirusprodukter de har installerat. Denna gÄng kontaktades vi av en person vars filer hade blivit infekterade av en okÀnd kodare.
God dag! Filerna pÄ lagringsenheten (samba4) med obehörig Ätkomst har krypterats. Jag misstÀnker att smittan kom frÄn min dotters dator (Windows 10 med Windows Defender som standard skydd). Döttrens dator har inte varit pÄslagen efter detta. Filerna har frÀmst krypterats i .jpg och .cr2. FilÀndelsen efter kryptering: .aef.
Vi fick prover pÄ de krypterade filerna, en lösenordsanteckning och en fil som förmodligen Àr nyckeln som författaren av ransomware behöver för att dekryptera filerna.
DÀr har vi alla vÄra ledtrÄdar:
- 01c.aef (4481K)
- hacked.jpg (254K)
- hacked.txt (0K)
- 04c.aef (6540K)
- pass.key (0K)
LÄt oss ta en titt pÄ meddelandet. Hur mÄnga bitcoins denna gÄng?
ĂversĂ€ttning:
Varning, dina filer Àr krypterade!
lösenordet Àr unikt för din dator.Betala summan 0,05 BTC till bitcoin-adressen: 1ERtRjWAKyG2Edm9nKLLCzd8p1CjjdTiF
Efter betalning, skicka mig ett mejl med den bifogade filen pass.key pÄ Wulfric@gmx.com med en betalningsbekrÀftelse.Efter bekrÀftelse kommer jag att skicka dig dekrypteraren för filerna.
Du kan betala bitcoins online pÄ olika sÀtt:
â betalning med bankkort
Om bitcoins:
Om du har nÄgra frÄgor, skriv till mig pÄ Wulfric@gmx.com
Som en bonus kommer jag att berÀtta hur din dator blev hackad och hur du kan skydda den i framtiden.
En patetisk varg, avsedd att visa offret allvaret i situationen. Det kunde dock ha varit vÀrre.
Fig. 1. -Som en bonus kommer jag att berĂ€tta hur du kan skydda din dator i framtiden. âVerkar legitimt.
II. LÄt oss börja arbeta
Först tittade vi pÄ strukturen av den skickade provfilen. Konstigt nog sÄg den inte ut som en fil som drabbats av en kryptovirus. Vi öppnar en hexadecimalredigerare och kollar. De första 4 byten innehÄller filens ursprungliga storlek, de följande 60 byten Àr fyllda med nollor. Men det intressanta finns i slutet:
Fig. 2 Analyserar den skadade filen. Vad Àr det första som slÄr en?
Det visade sig vara frustrerande enkelt: 0x40 byte frÄn huvuet hade flyttats till slutet av filen. För att ÄterstÀlla data rÀcker det med att helt enkelt föra tillbaka dem till början. à tkomsten till filen har ÄterstÀllts, men namnet Àr fortfarande krypterat, och det Àr mer komplicerat.
Fig. 3. Det krypterade namnet i Base64 ser ut som en meningslös strÀng av tecken.
LÄt oss försöka bryta ner pass.key, som skickades av anvÀndaren. I den ser vi en 162-byte lÄng sekvens av tecken i ASCII.
Fig. 4. 162 tecken, kvarlÀmnade pÄ offerets dator.
Om man tittar noga kan man mÀrka att tecknen upprepas med viss periodicitet. Detta kan tyda pÄ anvÀndning av XOR, dÀr upprepningar Àr vanliga och frekvensen beror pÄ nyckellÀngden. Genom att dela upp strÀngen i 6 tecken och XOR:a med olika varianter av XOR-sekvenser fick vi inget meningsfullt resultat.
Fig. 5. Ser ni de upprepande konstanterna i mitten?
Vi beslutade att googla konstanterna, för ja, sĂ„ kan man ocksĂ„ göra! Och alla ledde i slutĂ€ndan till samma algoritm â Batch Encryption. Efter att ha studerat skriptet blev det klart att vĂ„r strĂ€ng inte Ă€r nĂ„got annat Ă€n resultatet av dess arbete. Det bör nĂ€mnas att detta inte Ă€r nĂ„gon kryptovirus, utan i sjĂ€lva verket en kodare som ersĂ€tter tecken med 6-byte lĂ„nga sekvenser. Inga nycklar eller andra hemligheter đ
Fig. 6. En del av den ursprungliga algoritmen av okÀnd upphovsmakare.
Algoritmen skulle inte fungera som den skulle utan en detalj:
Fig. 7. Morpheus godkÀnd.
Genom att anvÀnda omvÀnd ersÀttning omvandlar vi strÀngen till pass.key i text pÄ 27 tecken. SÀrskild uppmÀrksamhet bör Àgnas Ät den mÀnskliga (troligen) texten 'asmodat'.
Fig. 8. USGFDG=7.
Google hjĂ€lper oss igen. Efter en liten sökning hittar vi ett intressant projekt pĂ„ GitHub â Folder Locker, skrivet i .Net och anvĂ€nder biblioteket 'asmodat' frĂ„n ett annat konto pĂ„ 'Git'.
Fig. 9. GrÀnssnittet för Folder Locker. Vi har definitivt kontrollerat för skadlig programvara.
Verktyget Àr en krypterare för Windows 7 och högre, som distribueras med öppen kÀllkod. Vid kryptering anvÀnds ett lösenord som krÀvs för efterföljande dekryptering. Det gör det möjligt att arbeta bÄde med enskilda filer och hela kataloger.
Dess bibliotek anvĂ€nder den symmetriska krypteringsalgoritmen Rijndael i CBC-lĂ€ge. Det Ă€r sĂ€rskilt vĂ€rt att notera att blockstorleken valdes till 256 bitar â vilket skiljer sig frĂ„n den som antas i AES-standarden, dĂ€r storleken begrĂ€nsas till 128 bitar.
VÄr nyckel genereras enligt standarden PBKDF2. HÀr anvÀnds lösenordet SHA-256 av den strÀng som angetts i verktyget. Det ÄterstÄr bara att hitta denna strÀng för att generera dekrypteringsnyckeln.
NÄvÀl, lÄt oss ÄtervÀnda till vÄr redan avkodade pass.key. Kommer ni ihÄg den raden med siffror och texten 'asmodat'? Vi försöker anvÀnda de första 20 byte av strÀngen som lösenord för Folder Locker.
Titta pĂ„ detta, det fungerar! Koden passade, och allt dekrypterades perfekt. Baserat pĂ„ tecknen i lösenordet â Ă€r det en HEX-representation av ett visst ord i ASCII. LĂ„t oss försöka visa kodordet i textform. Vi fĂ„r 'shadowwolf'. KĂ€nner ni redan symptomen pĂ„ lycanthropi?
LÄt oss ta en titt pÄ strukturen av den drabbade filen, nu nÀr vi redan kÀnner till hur lokern fungerar:
- 02 00 00 00 â lĂ€ge för kryptering av namn;
- 58 00 00 00 â lĂ€ngden av det krypterade och base64-kodade filnamnet;
- 40 00 00 00 â storleken pĂ„ den överförda rubriken.
Det krypterade namnet och den överförda rubriken Àr markerade med röd och gul fÀrg respektive.
Fig. 10. Det krypterade namnet Àr markerat i röd, den överförda rubriken i gul.
LÄt oss nu jÀmföra de krypterade och dekrypterade namnen i hexadecimalt format.
Strukturen för de dekrypterade uppgifterna:
- 78 B9 B8 2E â skrĂ€p skapat av verktyget (4 byte);
- 0C 00 00 00 â lĂ€ngden pĂ„ det dekrypterade namnet (12 byte);
- dÀrefter följer namnet pÄ filen och fylls med nollor till den önskade blocklÀngden (padding).
Fig. 11. IMG_4114 ser mycket bÀttre ut.
III. Sammanfattning och slutsats
Tillbaka till början. Vi vet inte vad författaren Wulfric hade för avsikter eller vilket mĂ„l han hade. För den genomsnittliga anvĂ€ndaren framstĂ„r resultatet av Ă€ven en sĂ„dan ransomware som en stor katastrof. Filer öppnas inte. Alla namn har försvunnit. IstĂ€llet för en bekant bild â en varg pĂ„ skĂ€rmen. Det tvingar en att lĂ€sa om bitcoins.
Sanningen Àr att denna gÄng, under förevÀndningen av en "skrÀckinjagande encoder", dolde sig ett sÄ absurd och meningslöst bedrÀgeri, dÀr gÀrningspersonen anvÀnder fÀrdiga program och lÀmnar nycklarna direkt pÄ brottsplatsen.
Förresten, talar vi om nycklar. Vi hade ingen skadlig skript eller trojan som skulle kunna ge en ledtrĂ„d om hur denna pass.key â mekanism som skapar filer pĂ„ den infekterade datorn förblir okĂ€nd. Men jag minns att författaren nĂ€mnde unikheten av lösenordet i sin anteckning. SĂ„, kodordet för avkryptering Ă€r lika unikt som anvĂ€ndarnamnet shadow wolf đ
Och ÀndÄ, skuggvargen, varför och varför?
KĂ€lla: habr.com
