MBR अवरोधक से अनलॉक कुंजी निकालना

हमने अपने ब्लॉग के पाठकों की इच्छाओं को ध्यान में रखने का फैसला किया और अवरोधक से अनलॉक कोड निकालने के तरीके पर एक छोटा लेख तैयार किया। Kaspersky Lab व्याचेस्लाव Zakorzhevsky में जिम्मेदार वरिष्ठ वायरस विश्लेषक! ..

विश्लेषण के लिए, मैंने नए ट्रोजन-रैनसम.विन .32 परिवार के प्रतिनिधियों में से एक को चुना। ये ब्लॉकर्स MBR को संक्रमित करते हैं और कंप्यूटर को अनलॉक करने के लिए उपयोगकर्ता से पैसा निकालते हैं।

मैंने बूट सेक्टर को संक्रमित करने के लिए कंप्यूटर और एल्गोरिदम पर मैलवेयर प्राप्त करने की प्रक्रिया के विश्लेषण में गहराई से जाने का फैसला नहीं किया, लेकिन तुरंत संशोधित एमबीआर का विश्लेषण करना शुरू कर दिया। इसलिए, प्रश्न में अवरोधक शुरू करने के बाद, ऑपरेटिंग सिस्टम रिबूट में चला जाएगा, और अगली बार जब कंप्यूटर बूट होगा, तो निम्न पाठ प्रदर्शित किया जाएगा।

एक संदेश जो कंप्यूटर को अवरोधक शुरू करने के बाद बूट करता है

नीचे हार्ड डिस्क के प्रारंभिक क्षेत्रों के स्क्रीनशॉट पहले और बाद में वे एक अवरोधक से संक्रमित हैं।


संक्रमण से पहले हार्ड ड्राइव के प्रारंभिक क्षेत्र

संक्रमण के बाद हार्ड ड्राइव के उसी क्षेत्र का एक टुकड़ा

यह स्पष्ट रूप से देखा गया है कि हार्ड ड्राइव की शुरुआत में काफी बदलाव आया है - एक अतिरिक्त कोड, ईजीए-पैटर्न और पाठ, जो पहली तस्वीर में दिखाया गया था, जोड़ा गया था।
नीचे मैं मंच द्वारा संशोधित मास्टर बूट रिकॉर्ड की सभी कार्यक्षमता को चित्रित करूंगा, और लेख के अंत में हम एक पूर्ण आरेख देंगे जिसमें अवरोधक और उनके उद्देश्य से उपयोग किए जाने वाले सेक्टर होंगे। MBR डीबग करने के लिए, मैंने Windows के लिए IDA और Boch के संयोजन का उपयोग किया।
सबसे पहले, दुर्भावनापूर्ण कोड नौवें क्षेत्र को पढ़ता है और इसे 0186A: 0000 पर संग्रहीत करता है। फिर, इसे CALLF 0186A: 0000 का उपयोग करके इसे संक्रमणित किया जाता है।

कोड स्निपेट पढ़ना नौवीं क्षेत्र

अगला, वर्तमान दिनांक और समय को संदर्भ मान के साथ जांचा जाता है। मेरे मामले में, यह मान (स्पष्ट रूप से एक सुविधाजनक रूप में प्रस्तुत किया गया) 06/04/2011 15:04 था। भुगतान का अनुरोध करने वाला एक संदेश केवल तभी दिखाई देगा जब वर्तमान समय का टिकट संदर्भ से कम हो। और अगर यह बड़ा है, तो अवरोधक मूल ICBM को पुनर्स्थापित करता है और कंप्यूटर को लोड करता है, जैसे कि कुछ भी नहीं हुआ था। निम्नलिखित अनुक्रमों का उपयोग करके समय और दिनांक सीधे BIOS से प्राप्त किए जाते हैं:


चल अल, एक्स
70 ह, अल
अल में, 71 h
सुबह 10 बजे
aad

जहाँ आप प्राप्त करना चाहते हैं उसके आधार पर 'x' अलग-अलग मान लेता है। यह ध्यान देने योग्य है कि BIOS बीसीडी प्रारूप में नंबर देता है। AAM और AAD निर्देश इन संख्याओं को हेक्स में परिवर्तित करते हैं।

यदि समय और तारीख की जाँच सफल रही, तो मैलवेयर तीसरे से पाँचवें तक के क्षेत्रों को पढ़ता है। तीसरे और चौथे में तथाकथित "उपयोगकर्ता फ़ॉन्ट तालिका" होती है, और पांचवें में बूट समय पर प्रदर्शित पाठ होता है। पाठ लिखने के लिए अपनी खुद की "शैली" (जोर से) लागू करने के लिए, INT 10h कहा जाता है। इसके बाद, सेक्टर ५-8 को शामिल किया जाता है, और पांचवें और शून्य क्षेत्रों में निहित पाठ को प्रदर्शित किया जाता है ("कोड दर्ज करें:")।

कोड स्निपेट प्रदर्शित पाठ

उसके बाद, दर्ज किए गए पाठ की जांच करने का चक्र काम करना शुरू कर देता है। चक्र को निम्नानुसार लागू किया गया है। INT 16h निर्देश को पहले कहा जाता है। यह रुकावट दबाए गए बटन (AH = स्कैन कोड, AL कीबोर्ड का वर्ण है) के मान को AX में लौटाता है:

चल आह, ०
धक्का दे दो
int 16h
पॉप दी
jmp short loc_7CC7

फिर दर्ज चरित्र के लिए एक जांच है। यदि यह 20h और 7Fh के बीच है, तो इसका मान ESOS में लिखा गया है: STOSB निर्देश का उपयोग करते हुए DI। यदि Enter कुंजी (0Dh) दबाया गया था, तो REPE CMPSB का उपयोग करके दर्ज और संदर्भ स्ट्रिंग की जाँच की जाती है।

दर्ज किए गए स्ट्रिंग और अनलॉक कोड की तुलना

स्क्रीनशॉट से पता चलता है कि ES: 7DA5 पते पर कंप्यूटर को अनलॉक करने के लिए एक लाइन की आवश्यकता होती है। यहाँ इस पते पर क्या स्थित है: '002158RD', 0। और चूंकि संख्या "6" सीएल में दर्ज की गई है, इसका मतलब है कि यह केवल "002158" दर्ज करने के लिए पर्याप्त है।
यदि सही कोड दर्ज किया गया है, तो मैलवेयर दूसरे क्षेत्र से मूल एमबीआर लेता है और इसे हार्ड डिस्क की शुरुआत में लिखता है।

अवरोधक द्वारा उपयोग किए जाने वाले क्षेत्र:

1 - मुख्य कोड;
2 - मूल पहला क्षेत्र;
3 - 4 - उपयोगकर्ता फ़ॉन्ट टेबल;
5 - 6 - उपयोगकर्ता को प्रदर्शित पाठ;
7 - 8 - क्षेत्र शून्य से भरे हुए हैं;
9 - कोड जो वर्तमान तिथि और समय के सामंजस्य का कार्य करता है;

PS और आप हार्ड ड्राइव की शुरुआत में Hiew "आंखों" से देख सकते हैं और कुख्यात कोड ढूंढ सकते हैं।

अब, अगर किसी चमत्कार के द्वारा आप ऐसी चीज़ उठाते हैं, तो आपके लिए इसे स्वयं अनलॉक करना मुश्किल नहीं होगा। लेकिन अज्ञात वस्तुओं द्वारा संक्रमण के मामले में, आपको http://support.kaspersky.ru/viruses/dirlocker लिंक का अनुसरण करना चाहिए। मुझे टिप्पणियों में सभी सवालों के जवाब देने में खुशी होगी।