Шифровирусы шумной толпою

RSS


1. Откочевал недавно (с мая и до осени 2014г) и отплясал  по нервам пользователей и ИТ сотрудников bat.encoder.
Первые - продолжают открывать все письма подряд, так как привыкли доверять тому что говорят по телевизору, и тому что печатают в газетах и  письмах. К печатному слову особенное доверие. " К любым чертям с матерями катись любая бумажка, но эту...", составленную по всем правилам  социальной инженерии: акты приема-передачи, акты сверки_проверки, скан-счета на оплату, счет для оплаты задолженности, письмо из ФНС,  судебная повестка по гражданскому делу и многочисленное т.д. - обязательно откроют из вложенного архива, и запустят.

В основе такого поведения, конечно же, незнание того факта что исполняемые файлы
Код
*.exe, *.com, *.pif, *.js, *.cmd, *.scr, *.bat, *.vbs, *.wsf, *.lnk, *.hta
никак не могут быть  офисным документом.
Цена открытия подобных документов все более возрастает. для bat.encoder стоимость за приватный ключ расшифровки документов составляла ~ 15-20 000 рублей. Помимо финансовых затрат компании несут имиджевые и материальные потери важных документов, а отдельные работники, сотрудники  и просто пользователи теряют еще и личные документы, фото (часто семейные, в единственном экземпляре), накопленные за несколько лет.

Криптологического решения по расшифровке документов *keybtc@gmail_com, *paycrypt@gmail_com до сих пор нет и скорее всего не будет.

На дворе стоит уже февраль 2015г, и новый, не менее(а может быть и более) технологичный шифратор, ctb-locker, он же encoder.686, Critroni.A, FileCoder.DA, уже на порядок выше запрашивает сумму за расшифровку документов - 3btc, по нынешним временам - целое состояние под 100 000руб!

Принцип работы злоумышленников прост. Письмо, помимо цепляющего текста, содержит вложенный документ (или ссылку на загрузку документа (как правило в архиве) из сети), который обычно является (в последнее время все чаще -закодированным скриптом) загрузчиком шифратора из сети. Расчет на человека, который невнимателен при появлении в почте сообщений от невидимых (и неведомых) адресатов. И на то, что антивирусные лаборатории не успевают выпускать новые детекты, а правила HIPS в новых антивирусных продуктах будут обойдены при запуске загрузчика.
-----------
2. краткое описание некоторых видов шифраторов.

1. bat.encoder/paycrypt/keybtc/
в сети появился примерно в мае-июне 2014 года.
запуск шифратора происходит из вложенного в архив zip js-скрипта.
для шифрования файлов используется легальная утилита GnuPG (v 1.4.18), скачиваемая из сети.
метод шифрования PGP, к исходному имени зашифрованных документов добавлено расширение keybtc@gmail_com, paycrypt@gmail_com
пример зашифрованного файла:  Паркет доска.doc.keybtc@gmail_com
файлы необходимые для расшифровки: KEY.UNIQUE (содержит список зашифрованных файлов), KEY.PRIVATE (содержит sec key из ключевой пары, созданной на стороне юзера) мануал злоумышленников UNCRYPT.TXT содержит инструкцию по расшифровке документов после оплаты.
электронная почта злодеев: keybtc@gmail.com или paycrypt@gmail.com

2. filecoder.CQ /encoder.567 / Cryakl* /
файл шифратора маскируется под утилиту winrar.exe
после запуска шифратор прописывает в автозапуск в реестр, поэтому возможен повторный запуск шифратора после перезагрузки системы
HKLM\Software\Microsoft\Windows\CurrentVersion\Run\progrmma
progrmma                    C:\Program Files\temp\WINRAR.EXE                                                    
пример зашифрованного файла:
KEY_GPG.rar.id-{SXDJPVBHMSYDJPVAGMRXCINTZFKQWBHNTYEK-28.01.2015 13@18@508370589}-email-masfantomas@aol.com-ver-4.0.0.0.cbf
электронная почта злодеев: masfantomas@aol.com

3. *protectdata@inbox.com
Win32/Filecoder.DG (ESET) / encoder.741 (DrWeb)/
пример файла шифратора: Архивная документация  о привлечении  в качестве свидетеля по гражданскому делу №573265.exe
файл шифратора копируется в папку автозапуска (StartUp) поэтому возможно продолжение шифрования, если оно не завершено.
пример зашифрованного файла: к имени файла добавлено id-1838430874_protectdata@inbox.com
стоимость расшифровки: 200$

4.*sos@xmail.com
Win32/Filecoder.NAM (ESET)/ Encoder.741 (DrWeb) /
пример файла шифровальщика: Судебная повестка по гражданскому делу №17695.exe
файл шифратора копируется в папку автозапуска (StartUp) поэтому возможно продолжение шифрования, если оно не завершено.
пример зашифр. файла: url.txt.id-0944860228_sos@xsmail.com

5. *.xtbl/Win32/Filecoder.ED
примеры зашифрованных файлов:
1IxTrDlM1113GNeXGWqmuZkC-s-EIHxO5m07aPy79kQPO5+p-YqbT4d4qFTTUoYS.xtbl
62k2lvR1pid5uS5SAGR0VpQEjBgswoy8yDb9rq8a9X7KknbkYNrERlLr1ORm­At73.xtbl
файл шифратора прописывается в автозапуск:
HKEY_USERS\S-1-5-21-1645522239-854245398-682003330-1003\Software\Microsoft\Windows\CurrentVersion\Run\Client
Server Runtime Subsystem
C:\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\WINDOWS\CSRSS.EXE
после завершения шифрования и перезапуска системы, остается в памяти.
e-mail: deshifrovka01@gmail.com или deshifrovka@india.com .

6. СTB-locker (Curve-Тор-Bitcoin Locker)
Filecoder.DA /Critroni / Encoder.686 (DrWeb)/Ransom.Win32.Onion.y/
дата создания - июнь 2014 год
исполняемый файл, шифрующий документы прописывается так же в планировщик задач.
C:\WINDOWS\TASKS\WADOJXK.JOB
C:\DOCUME~1\%userprofile%\LOCALS~1\Temp\biefwoi.exe
поэтому, после перезагрузки системы шифрование будет продолжено, если по каким то причинам не было завершено.
расширение зашифрованных файлов может быть случайным. например: *.onklibe
особенность данного шифратора в том, что он использует сеть TOR для связи с командным сервером
---------------------------------
3. что делать?

готовим сани к зиме летом, а систему безопасности укрепляем круглый год.


1. для укрепления рубежа brain читаем классическую работу Кевина Митника The Art of Deception-"искусство обмана" по противодействию методам соц_инженерии. "Искусство обмана" показывает насколько мы все уязвимы - правительство, бизнес, и каждый из нас лично - к вторжениям социальных инженеров.


2. настраиваем в локальных политиках безопасности правила ограниченного использования программ.
С помощью правил блокируем запуск троянов по относительным путям и маскам файлов.
Например, данное правило запрещает запуск всех программ с расширением *.exe по указанному относительному пути %UserProfile%\Local Settings\*.exe

для автоматизации создания правил ограниченного использования программ можно использовать CryptoPrevent.

-----------------
4. если ваши файлы уже зашифрованы..

Метод 1: резервное копирование
Первый и лучший способ - восстановить данные из последней резервной копии.

Метод 2: File Recovery Software
Похоже, что, когда CTB Locker шифрует файл, он сначала делает копию, шифрует копию, а затем удаляет оригинал.
Поэтому пробуйте использовать программное обеспечение, например R-Studio или Photorec чтобы восстановить некоторые из ваших исходных файлов.

Метод 3: Shadow Volume Copies
Пробуйте восстановить файлы с помощью теневого тома копий. К сожалению, шифратор будет пытаться удалять любые Shadow Volume Copies на вашем компьютере, но иногда это не удается сделать.
©, chklst.ru, forum.esetnod32.ru
Изменено: santy - 17.04.2018 12:09:39

Ответы

Майк Гиллеспи добавил в инструмент GryptoSeach функцию поиска маркеров (hex формат) помещенных после шифрования в начало или конец файла.

Цитата
Updated CryptoSearch v0.9.9.0 to allow searching for filemarkers in files encrypted by #ransomware at end of the file too. Also minor bugfix. https://download.bleepingcomputer.com/demonslay335/CryptoSearch.zip

C помощью данной функции можно например выполнить поиск файлов ключей по известному маркеру.

Обнаружен новый вариант шифратора Crysis: файлы шифруются с расширением .write.
пример зашифрованного файла.
Составное расширение: .id-6243554F.[fiies.re3rore@aol.com].write
ID Ransomware spotted a new extension for #Dharma #Ransomware yesterday - ".id-<id>.[<email>].arrow"

https://twitter.com/demonslay335/status/969229294089261058
Looks like #Cryakl #Ransomware has updated to v1.5.1.0. ID Ransomware picked up on example file named "email-dorispackman@tuta.io.ver-CL http://1.5.1.0.id -1614714137-578233478334310455516964.fname-README.txt.doubleoffset"

https://twitter.com/demonslay335/status/971164798376468481
New Bip Dharma Ransomware Variant Released

Цитата
   Today, Michael Gillespie noticed what appeared to be a new variant of the Crysis/Dharma Ransomware uploaded to his ID-Ransomware site. Jakub Kroustek then discovered some samples to confirm that it was indeed a new Dharma variant. This new version will append the .Bip extension to encrypted files. It is not known exactly how this variant is being distributed, but in the past Dharma is typically spread by hacking into Remote Desktop Services and manually installing the ransomware.

   When the Bip ransomware variant is installed, it will scan a computer for data files and encrypt them. When encrypting a file it will append an extension in the format of .id-[id].[email].bip. For example, a file called test.jpg would be encrypted and renamed to test.jpg.id-BCBEF350.[Beamsell@qq.com].bip.

   It should be noted that this ransomware will encrypt mapped network drives, shared virtual machine host drives, and unmapped network shares. So it is important to make sure your network's shares are locked down so that only those who actually need access have permission.[/email]


Сегодня Майкл Гиллеспи заметил, что появился новый вариант Crysis / Dharma Ransomware, загруженный на его сайт ID-Ransomware. Затем Якуб Крустек обнаружил несколько образцов, чтобы подтвердить, что это действительно новый вариант Dharma. Эта новая версия добавит расширение .Bip к зашифрованным файлам. Неизвестно, как именно этот вариант распространяется, но в прошлом Dharma обычно распространяется путем взлома Служб удаленных рабочих столов и ручной установки шифратора.

После установки Bip ransomware сканирует компьютер на файлы данных и шифрует их. При шифровании файла он добавит расширение в формате .id- [id]. [Email] .bip. Например, файл с именем test.jpg будет зашифрован и переименован в test.jpg.id-BCBEF350. [Beamsell@qq.com] .bip.

Следует отметить, что этот вариант шифратора будет шифровать подключенные сетевые диски, общие виртуальные машины и не распределенные сетевые ресурсы. Поэтому важно убедиться, что ваши сетевые ресурсы заблокированы, так что только те, кому действительно нужен доступ, имеют разрешение.

https://www.bleepingcomputer.com/news/security/new-bip-dharma-ransomware-variant-released/
New variant of #Dharma #Ransomware spotted on ID Ransomware using extension ".id-<id>.[<email>].cmb".



https://twitter.com/demonslay335/status/1027649502491160577
Здравствуйте! Совсем недавно появился новый троян-вымогатель, именуемый Barack Obama’s Everlasting Blue Blackmail Virus. На скриншоте анализ этого криптора на ВирусТотал. Интересует такой вопрос. Почему детект у шифровальщика не filecoder, как это принято обычно у вирлаба ESET? Что повлияло на отказ от традиционной формулировки детекта для ransomware?
Screenshot_93.png (665.66 КБ)
Screenshot_95.png (218.9 КБ)
Screenshot_94.png (104.15 КБ)
Изменено: Макс И-Всё - 18.09.2018 08:15:28
значит и "Барак Обама" уже по "бессарабии" кочует
Цитата
Макс И-Всё написал:
Почему детект у шифровальщика не filecoder, как это принято обычно у вирлаба ESET? Что повлияло на отказ от традиционной формулировки детекта для ransomware?

Наименование угрозе даёт тот, кто её первый открыл.
Это пошло ещё с эпохи географических открытий.
Первым малварь обнаружил специалист MalwareHunterTeam: https://xakep.ru/2018/09/04/shifrovalshhik-imeni-baraka-obamy-narushaet-rabotosposobnost-windows/
по информации специалиста из Аваст Jakub Kroustek

https://twitter.com/JakubKroustek/status/1038680437508501504
https://twitter.com/JakubKroustek/status/1041410034150850561
https://twitter.com/JakubKroustek/status/1041954713187565568
https://twitter.com/JakubKroustek/status/1042897005587189760
https://twitter.com/JakubKroustek/status/1047053857359056897
https://twitter.com/JakubKroustek/status/1048159501457739776
https://twitter.com/JakubKroustek/status/1050351551116701701


по Crysis добавились еще несколько вариантов с шифрованием
A new variant of the #CrySiS / #Dharma ransomware: ".[paydecryption@qq.com].brrr" + "FILES ENCRYPTED.txt" + "Info.hta".
и
Less than a week, and there's yet another version of the #CrySiS #ransomware - extension ".gamma" (".id-%ID%.[bebenrowan@aol.com].gamma") + ransomnotes in "FILES ENCRYPTED.txt".
и
Another day, another new #CrySiS/#Dharma #ransomware varianta - this time with ".monro" extension and usual "FILES ENCRYPTED.txt" & "Info.hta" ransom notes. Email "icrypt@cock.li"
и
Another #CrySiS/#Dharma #ransomware variant - extension ".bkp". [bkp@cock.li] (@gexcolo)
и
Another #CrySiS/#Dharma #ransomware variant. This time with ".btc" file extension + Info.hta + "FILES ENCRYPTED.txt" + email "btc@fros.cc".
и
a new CrySiS/Dharma variant that appends the .bgtx extension and drops ransom notes named Info.hta and FILES ENCRYPTED.txt.
и
#CrySiS / #Dharma #ransomware - .[Darknes@420blaze.it].waifu
Читают тему (гостей: 2)