फ़ाइल कोडर रैंसमवेयर परिवार सक्रिय

दुर्भावनापूर्ण सॉफ़्टवेयर जो उपयोगकर्ता फ़ाइलों को एन्क्रिप्ट करता है और फिर डिक्रिप्शन के लिए पैसे मांगता है, यह नया नहीं है। ऐसे परिवारों को सामान्य नाम फिल्कोडर प्राप्त हुआ है और एक सामान्य प्रकार का खतरा है - उन्हें रैनसमवेयर कहा जाता है। पिछले कुछ महीनों में, हमने FileCoder ransomware गतिविधि में उल्लेखनीय वृद्धि देखी है। ESET एंटीवायरस उत्पाद इन खतरों का पता लगाते हैं जैसे Win32 / Filecoder और Win32 / Gpcode ।

हमारे ESET लाइव ग्रिड टेलीमेट्री सिस्टम से पता चलता है कि Win32 / Filecoder ऑब्जेक्ट डिटेक्शंस की साप्ताहिक संख्या जुलाई 2013 के बाद से 200% से अधिक हो गई है - उसी वर्ष के जनवरी-जून के औसत के साथ तुलना में।



इस मैलवेयर की गतिविधियों से रूस को सबसे ज्यादा नुकसान उठाना पड़ा है। अन्य देशों में, गतिविधि कम मौजूद है।



अन्य प्रकार के ट्रोजन के साथ, साइबर अपराधियों ने उपयोगकर्ताओं के कंप्यूटरों पर फिल्कोडर स्थापित करने के लिए विभिन्न तरीकों का उपयोग किया है:

• स्टील्थ इंस्टॉलेशन के लिए कारनामों का उपयोग करके ड्राइव-द्वारा हमले;
• ईमेल संलग्नक
• अन्य मैलवेयर का उपयोग करना, जैसे डाउनलोडर;
• RDP के माध्यम से एक हमलावर द्वारा मैन्युअल स्थापना।

संक्रमण के परिदृश्यों में से एक में, हमने देखा कि Win32 / Filecoder.Q (और बाद में Win32 / Filecoder.AA , Win32 / Filecoder.W ) का एक संशोधन बैकस्ट के माध्यम से वितरित किया गया था, उदाहरण के लिए, पॉइज़न आइवी आरएटी। हमलावरों ने उपयोगकर्ता को ईमेल के माध्यम से एक बैकडोर भेजा। यदि यह उपयोगकर्ता के कंप्यूटर पर स्थापित किया गया था, तो दुर्भावनापूर्ण कोड ने अपने C & C सर्वर से संपर्क किया और इसके माध्यम से फाइलकोडर रैंसमवेयर प्राप्त किया।

एक अन्य परिदृश्य में, हमलावरों ने कंप्यूटर पर मैन्युअल रूप से फिल्कोडर स्थापित करने के लिए आरडीपी का उपयोग किया। हमारे पास यह कहने के लिए पर्याप्त जानकारी नहीं है कि हमलावर इस उद्देश्य के लिए आरडीपी का उपयोग करने में सक्षम थे और उपयोग के लिए क्रेडेंशियल्स प्राप्त करते थे ।

FileCoder क्षमताओं की एक व्यापक श्रेणी का उपयोग करता है जब अपने विभिन्न संशोधनों में फ़ाइलों को एन्क्रिप्ट करता है।

• एन्क्रिप्शन को मूल कोड का उपयोग करके या तीसरे पक्ष के वैध उपकरण (उदा। LockDir , WinRar, आदि) का उपयोग करके लागू किया जा सकता है।
• दुर्भावनापूर्ण कोड के कुछ संशोधन पूरी फ़ाइल को एन्क्रिप्ट करते हैं, अन्य केवल फ़ाइल का एक हिस्सा होते हैं।
• मूल फ़ाइल से छुटकारा पाने के लिए विभिन्न तरीकों का उपयोग किया जाता है। कुछ मामलों में, फ़ाइल को हटा दिया जाता है, लेकिन फिर उसे विभिन्न पुनर्प्राप्ति टूल का उपयोग करके पुनर्स्थापित किया जा सकता है। एक अन्य मामले में, फ़ाइल को विशेष साधन (उदाहरण के लिए, Microsoft SysInternals SDelete उपयोगिता का उपयोग करके) या बस पूरी तरह से अधिलेखित करके हटा दिया जाता है।

रैंसमवेयर निम्नलिखित एन्क्रिप्शन विधियों का उपयोग करता है:

• ब्लोफिश
• एईएस
• आरएसए
• चाय

... और एन्क्रिप्शन कुंजी हो सकती है:

• FileCoder में हार्ड कोडित;
• मैन्युअल रूप से प्राप्त किया जाता है (कमांड लाइन विकल्प या एक संवाद बॉक्स के माध्यम से अगर हमलावर को आरडीपी के माध्यम से कंप्यूटर तक पहुंच है);
• दुर्भावनापूर्ण कोड द्वारा मनमाने ढंग से उत्पन्न।

फिल्कोडर परिवार, जिसे आरडीपी के माध्यम से वितरित किया जाता है, ने स्केयरवेयर / रग्ववेयर ट्रिक्स का उपयोग करके अपनी रणनीति में काफी सुधार किया है और जीयूआई के माध्यम से खुद को एंटी-चाइल्ड पोर्न स्पैम प्रोटेक्शन या एसीसीडीएफआईएसए (संघीय इंटरनेट का एंटी साइबर क्राइम विभाग) के रूप में प्रस्तुत करता है। सुरक्षा एजेंसी)। बेशक, ऐसी एजेंसी मौजूद नहीं है। ऐसे विकल्पों पर व्यापक जानकारी Emsisoft के ब्लॉग पर पाई जा सकती है। इस संशोधन का पता ESET द्वारा Win32 / Filecoder.NAC के रूप में लगाया गया है, इसका उपयोग हमलावरों द्वारा लंबे समय से किया जाता रहा है। यह ध्यान दिया जाना चाहिए कि यह यह संशोधन है जो धन बायबैक की राशि में दूसरों से अलग है जो वह डिक्रिप्शन के लिए पूछता है - 3000 €। जाहिर है, यह हमलावरों के संभावित लक्ष्यों के कारण है जो विभिन्न संगठनों से समझौता करने का विकल्प चुनते हैं। हालांकि, इस परिवार के अन्य प्रतिनिधि 100 - 200 € की राशि लेते हैं।

Win32 / Filecoder.BH वैरिएंट , जिसे DirtyDecrypt के नाम से भी जाना जाता है, में इसके उपकरण में उपयोगकर्ता के लिए एक बायबैक संदेश प्रदर्शित करने का एक दिलचस्प तरीका है। ग्राफिक फ़ाइलों और दस्तावेजों की सामग्री को एन्क्रिप्ट करने के चक्र के दौरान, दुर्भावनापूर्ण कोड नीचे दिए गए संदेश के साथ एन्क्रिप्टेड फ़ाइल के अंत में जानकारी जोड़ता है।



Win32 / Filecoder.BQ का एक और संस्करण एक उलटी गिनती टाइमर प्रदर्शित करके उपयोगकर्ता को प्रभावित करने की कोशिश कर रहा है जो दिखाता है कि फ़ाइलों को डिक्रिप्ट करने की क्षमता से पहले कितना समय बचा है। दिलचस्प बात यह है कि मनीपाक या उकैश के रूप में सामान्य रैंसमवेयर भुगतान विधियों के साथ, यह आपको इसके लिए बिटकॉइन का उपयोग करने की अनुमति देता है। अधिक विस्तृत जानकारी हमारे Win32 / Filecoder.BQ खतरे विश्वकोश में पाई जा सकती है।

हमलावर एक विशेष उपकरण का उपयोग करके FileCoder के कुछ वेरिएंट उत्पन्न करते हैं - एक बिल्डर, एक बैंकिंग ट्रोजन प्रोग्राम बिल्डर के समान। यह टूल एक हमलावर को फ़ाइल प्रकारों को एन्क्रिप्ट करने, एन्क्रिप्शन विधि, संदेश पाठ आदि का चयन करने की अनुमति देता है।



FileCoder में कुछ संशोधन एक कमजोर सिफर, एक गलत एन्क्रिप्शन कार्यान्वयन का उपयोग करते हैं, या डिक्रिप्शन के लिए एक पासवर्ड स्टोर करते हैं जहां इसे प्राप्त करना आसान है। इस मामले में, फ़ाइलों को डिक्रिप्ट करना बहुत सरल हो सकता है, लेकिन ज्यादातर मामलों में, हमलावर ऐसी त्रुटियों की अनुमति नहीं देते हैं और कुंजी के बिना एन्क्रिप्टेड फ़ाइलों को पुनर्प्राप्त करना लगभग असंभव है।

यदि आप RDP का उपयोग करते हैं, तो उचित सुरक्षा उपाय करें, जो आपके सिस्टम में दूरस्थ पहुँच प्राप्त करने से मनमाने उपयोगकर्ताओं को रोकेगा। दो-कारक प्रमाणीकरण तंत्र के साथ एक वीपीएन का उपयोग करने पर विचार करें जो आपको सुरक्षित रहने की अनुमति देता है। इसके अलावा, अपने एंटीवायरस सॉफ़्टवेयर की सेटिंग्स को एक विशेष पासवर्ड के साथ सुरक्षित रखना अच्छा है, ताकि एक हमलावर उन्हें बदल न सके।