Cryptolocker 2.0 या नकली?

पिछले रैंसमवेयर पोस्ट में , हमने फाइल कोडर परिवार की सक्रियता की ओर इशारा किया, जिसका उपयोग साइबर क्रिमिनल्स द्वारा उपयोगकर्ता फाइलों को एन्क्रिप्ट करने के लिए किया जाता है और फिर डिक्रिप्शन के लिए फिरौती की मांग की जाती है। जुलाई 2013 से, साइबर अपराधियों ने इस प्रकार के मैलवेयर को फैलाने के अपने प्रयासों को फिर से किया है। इसके अलावा, इस अवधि के दौरान, Win32 / Filecoder.BQ के एक नए संशोधन की उपस्थिति, जिसे बेहतर रूप से क्रिप्टोलॉकर के रूप में जाना जाता है और एनक्रिप्ट का सबसे खतरनाक संस्करण है, दर्ज किया गया था। जब एक Cryptolocker संक्रमित होता है, तो उपयोगकर्ता अपना डेटा खो देता है या डिक्रिप्शन के लिए हमलावरों को भुगतान करने के लिए मजबूर होता है।



जैसा कि नीचे दिए गए आंकड़ों में देखा जा सकता है, क्रिप्टोलोकर संयुक्त राज्य में सबसे अधिक सक्रिय है। जाहिर है, उपयोगकर्ताओं की पर्याप्त संपत्ति के कारण यह क्षेत्र हमलावरों के लिए सबसे आकर्षक है। हमलावरों के लिए इस तरह से लाभ कमाना आसान है, क्योंकि कई उपयोगकर्ता केवल मूल फ़ाइलों तक पहुंच प्राप्त करने के लिए आवश्यक राशि का भुगतान करने के लिए तैयार हैं। केवल क्रिप्टोलॉकर ही नहीं, बल्कि ज़ीउस या स्पाईइ के रूप में इस तरह के प्रसिद्ध बैंकिंग मैलवेयर भी एक बार मुख्य रूप से संयुक्त राज्य अमेरिका में सबसे बड़े विमुद्रीकरण के कारण केंद्रित थे।


अंजीर। क्रिप्टोलोकर के वितरण का भूगोल।

पिछले महीने, हमने एक और फिल्कोडर परिवार की खोज की जिसने हमारा ध्यान आकर्षित किया क्योंकि "क्रिप्टोलॉकर 2.0" नाम संशोधन कोड में मौजूद था। इस संशोधन को हमारे विश्लेषकों ने MSIL / Filecoder.D और MSIL / Filecoder.E के रूप में जोड़ा।

नए संस्करण के विश्लेषण से पता चलता है कि दोनों संशोधन (नियमित क्रिप्टोलॉकर और क्रिप्टोलॉकर 2.0) एक समान तरीके से काम करते हैं। सिस्टम के संक्रमित होने के बाद, वे फ़ाइल सिस्टम में कुछ प्रकार की फ़ाइलों (एक्सटेंशन द्वारा) की खोज करते हैं, उन्हें एन्क्रिप्ट करते हैं और डिक्रिप्शन के लिए फिरौती का भुगतान करने की आवश्यकता के बारे में उपयोगकर्ता को एक संदेश प्रदर्शित करते हैं। दोनों संशोधन एन्क्रिप्शन के लिए आरएसए सार्वजनिक कुंजी एल्गोरिथ्म का उपयोग करते हैं। इसी समय, दोनों परिवारों के बीच कुछ मतभेद हैं।





इन परिवारों के बीच तीन अंतर दिखाई देते हैं। पहला संस्करण RSA-2048 का उपयोग करता है, जबकि नया संस्करण अधिक स्थिर RSA-4096 के उपयोग का दावा करता है (हालाँकि वास्तव में यह RSA-1024 का उपयोग करता है)। एक और अंतर यह है कि क्रिप्टोलॉकर 2.0 आरएसए निजी कुंजी के प्रस्तावित निष्कासन से पहले समय की मात्रा को प्रदर्शित करता है (जिसके साथ आप प्रत्येक एईएस फ़ाइल के लिए एक अद्वितीय कुंजी डिक्रिप्ट कर सकते हैं, जिसके माध्यम से आप फ़ाइल को डिक्रिप्ट कर सकते हैं)। इसके अलावा, संस्करण 2.0 केवल बिटकॉइन में फिरौती स्वीकार करता है, जबकि पहले संस्करण में मनीपैक और उकैश भी स्वीकार किए जाते हैं।

इन परिवारों के बीच अन्य मतभेद हैं जिन्हें दुर्भावनापूर्ण कोड को पार्स करने के बाद पहचाना गया था। सबसे स्पष्ट प्रोग्रामिंग भाषा है जो हमलावर इन संशोधनों को विकसित करने के लिए उपयोग करते थे। सामान्य Cryptolocker C ++ में लिखा गया है, और C # में नया है। इन संशोधनों द्वारा उपयोग की जाने वाली फ़ाइलें और रजिस्ट्री कुंजियाँ भी भिन्न होती हैं, और नए संस्करण में एन्क्रिप्ट किए जाने वाले फ़ाइल एक्सटेंशनों की संख्या में वृद्धि की गई है, अब इसका उद्देश्य ऑडियो / वीडियो फ़ाइलों और छवि फ़ाइलों पर है: .mp3, .mp4, .jpg, .png। avi, .mpg।

जब कोई दुर्भावनापूर्ण प्रोग्राम सिस्टम पर चलता है, तो यह C & C सर्वर के साथ संचार करता है और वहां से एक अद्वितीय RSA सार्वजनिक कुंजी का अनुरोध करता है। फिर, एन्क्रिप्शन के लिए मानदंड से मेल करने वाली प्रत्येक फ़ाइल को एक अद्वितीय 3DES कुंजी का उपयोग करके एन्क्रिप्ट किया गया है, जो तब सर्वर से प्राप्त RSA सार्वजनिक कुंजी का उपयोग करके एन्क्रिप्ट किया गया है। यह एन्क्रिप्ट की गई कुंजी सहायक फ़ाइल के शरीर को लिखी जाएगी, जिसका मूल नाम एक ही होगा, लेकिन एक और एक्सटेंशन ".k" (% फ़ाइल नाम%।% Fileext% .k) को इसमें जोड़ा जाएगा।

इस प्रकार, फ़ाइलों का डिक्रिप्शन संभव है यदि RSA निजी कुंजी ज्ञात है, जो 3DES कुंजी (पहले संस्करण के मामले में AES) को डिक्रिप्ट करने में मदद करेगी। संस्करणों के बीच एक और अंतर यह है कि पहला Cryptolocker एन्क्रिप्ट की गई फ़ाइल के अंत में एन्क्रिप्ट की गई कुंजी को बचाता है, और एक अलग फ़ाइल में नहीं।



क्रिप्टोलोकर - फाइल एन्क्रिप्शन की मुख्य विशेषता के अलावा, इसमें अतिरिक्त विशेषताएं शामिल हैं, उदाहरण के लिए, यह डेस्कटॉप पर विंडोज़ प्रदर्शित करता है जो "एक्टिवेटर्स" या स्टॉक सॉफ्टवेयर के पटाखे: माइक्रोसॉफ्ट विंडोज, ऑफिस, टीम व्यूअर, एडोब फोटोशॉप, या यहां तक ​​कि ईएसईटी स्मार्ट सिक्योरिटी का अनुकरण करता है।





क्रिप्टोलॉकर उस निष्पादन योग्य फ़ाइल के नाम के आधार पर उपयोगकर्ता को प्रदर्शित करने के लिए किस विंडो का चयन करता है, जहां से इसे लॉन्च किया गया था। शुरू करने के बाद, यह सिस्टम पर स्थापित होता है और फिर फाइलों को एन्क्रिप्ट करना शुरू करता है। मास्किंग की यह विधि आपको उन उपयोगकर्ताओं की सतर्कता को कम करने की अनुमति देती है जो विभिन्न पटाखे की मदद का सहारा लेते हैं और मालिकाना कार्यक्रमों की अखंडता का उल्लंघन करने के लिए इसी तरह के सॉफ़्टवेयर का उपयोग करते हैं।

हम ध्यान दें कि Cryptolocker 2.0 को हटाने योग्य मीडिया के माध्यम से वितरित करने की क्षमता है, इसके शरीर पर निष्पादन योग्य फ़ाइल की सामग्री को अधिलेखित करना। नए संस्करण में बिटकॉइन वॉलेट फ़ाइलों को चोरी करने की संभावना भी शामिल है, जो उपयोगकर्ता के ज्ञान के बिना BFGMiner बिटकॉइन उत्पन्न करने के लिए एक वैध एप्लिकेशन लॉन्च कर रहा है, या कुछ सर्वरों के खिलाफ DDoS हमलों को व्यवस्थित करने के लिए बॉट के रूप में एक समझौता प्रणाली का उपयोग कर रहा है।

निष्कर्ष

Cryptolocker और Cryptolocker 2.0 के बीच उपरोक्त सभी अंतरों को ध्यान में रखते हुए, हम यह निष्कर्ष नहीं निकाल सकते कि यह वास्तव में इस मैलवेयर का एक नया संस्करण है। C ++ से C # पर हमलावरों को बदलना एक अप्रत्याशित समाधान है, लेकिन एक ही समय में, किसी भी महत्वपूर्ण अंतर को दुर्भावनापूर्ण प्रोग्राम की क्षमताओं में महत्वपूर्ण सुधार नहीं माना जा सकता है।

मैलवेयर Cryptolocker 2.0, जिसे MSIL / Filecoder.D और MSIL / Filecoder.E के नाम से जाना जाता है, वास्तव में खतरनाक है और उन उपयोगकर्ताओं को बहुत नुकसान पहुंचा सकता है जो अपना डेटा वापस नहीं लेते हैं। क्रिप्टोलॉकर के मामले में, डेटा का बैकअप अपने विनाशकारी कार्यों के खिलाफ सबसे अच्छा सुरक्षा उपायों में से एक है।

हम यह भी सलाह देते हैं कि आप ईएसईटी स्मार्ट सिक्योरिटी और ईएसईटी एनओडी 32 एवी उत्पादों के सातवें संस्करण का उपयोग करें, क्योंकि उनमें उन्नत मेमोरी स्कैनिंग के लिए एक विशेष सुविधा है। यह पहले से ज्ञात या अभी तक मालवेयर के अज्ञात संशोधनों का पता लगाने में सुधार करने में मदद करता है, जिसमें फिल्कोडर भी शामिल है।