Очередная напасть - файлы упакованы в rAr-архивы
Спустя месяц после [URL="http://virusinfo.info/showthread.php?t=158955"]предыдущего варианта[/URL] компьютеры пользователей подверглись очередной напасти. Правда в этот раз файлы не шифруются в прямом смысле этого слова, а упаковываются в [B]rAr[/B]-архивы с паролем
[COLOR=#0000cd][B]Примеры тем[/B][/COLOR]
[url]http://virusinfo.info/showthread.php?t=160858[/url]
[url]http://virusinfo.info/showthread.php?t=160892[/url]
[url]http://virusinfo.info/showthread.php?t=160934[/url]
[B][COLOR=#0000cd]Механизм распространения[/COLOR][/B]: вложение (дроппер) к электронному письму
[B][COLOR=#0000cd]Известные имена дроппера[/COLOR][/B]
[QUOTE]Копия искового заявления в суд ответчику.cmd - [U]просто переименованный[/U] самораспаковывающийся архив
[url]https://www.virustotal.com/ru/file/750f307659f5ccc38e93541899d23710dfa338b19da3c839c0d67bc9923df845/analysis/[/url]
[/QUOTE]
[COLOR=#0000cd][B]Шифруемые файлы[/B][/COLOR] (на всех логических дисках)
[QUOTE].ppt*, .jpg, .jpe*, .doc*, .txt, .pdf, .tif, .dbf, .eps, .psd, .rar, .wbd, .cdr, .zip, .psb, .ptx, .tst, .mrh, .dbk, .4db, .sps, .mbd, .wps, .raw, .dxb, .pek, .mov, .vob, .xls*, .dwg, .cpp, .xml, .dxg, .pdm, .epf, .erf, .grs, .geo, .vrp, .yml, .mdb, .mdf, .1cd, .tar, .cdx, .dxg, .odt, .obd, .wps, .pst, .rtf, .odb, .slx[/QUOTE]
После запуска в папке [B]c:\tmp[/B] появляется все необходимое для шифрования
Для работы вирус использует консольную версию архиватора WinRar 5.0
В каждой папке создается файл с именем [B]!!!Фaйлы зaшифpoвaнны!!!.txt[/B] следующего содержания (пример)
[spoiler]Все файлы Вашего компьютера зашифрованы архиватором Rar 5.0 с паролем.
Современный уровень развития компьютерной криптографии позволяет создать
код, которым можно зашифровать файлы данных, а также зашифровать сам код,
для того, чтобы передать его со 100% гарантией надежности от
несанкционированного использования. В подтверждение этого Вы получили по
эллектронной почте письмо, вложение которого зашифровало все Ваши файлы.
При архивировании происходит шифрование данных алгоритмом AES. Взломать
такой алгоритм невозможно. Таким образом, нет смысла обращаться за помощью,
кроме автора данного шифра. Вы потеряете время и деньги.
Существуют другие разновидности подобных программ, которые расшифровывают
антивирусные компании, но в данном случае это просто невозможно.
Для того, чтобы разархировать данные - нужно приобрести пароль. Стоимость
пароля 10.000 рублей. Вместе с паролем прилагается программа, которая
расшифрует все файлы за Вас автоматически.
E-mail для связи: [noparse][email protected][/noparse]
В конце данного сообщения содержится текст из набора символов. Это Ваш
пароль в зашифрованном виде. Не удаляйте данный файл, поскольку в ином
случае восстановить данные будет невозможно. Для надежности данный файл
находится во всех директориях, где имеются зашифрованные файлы.
Пришлите нам этот файл (который Вы сейчас читаете) и один зашифрованный
файл (небольшого размера) - мы его Вам расшифруем. Один расшифрованный файл
мы высылаем для подтверждения того, что Вы разговариваете с владельцем ключа
шифрования и расшифровать Ваши данные вполне реально. Также, Вам будет
выслана инструкция по оплате. После оплаты Вы получите пароль и программу,
которая автоматически расшифрует все зашифрованные файлы (имея пароль можно
разархивировать (расшифровать) все данные и вручную, без нашей программы).
Имейте в виду, больше никто в мире не сможет расшифровать данные, поскольку
пароль на архивы зашифрован алгоритмом RSA. Архивы RAR с паролем еще никто
не взломал.
Если Вам не приходит ответ долгое время, возможно, наш ответ мог попасть в
папку СПАМ Вашего почтового ящика. Посмотрите там.
Если наша почта не отвечает, возможно, наш почтовый ящик перестал работать.
Мы предусмотрели второй способ связи.
1) Зайдите на сайт [url]www.bitmsg.me[/url]
2) Зарегистрируйтесь ( нажмите get started today), затем введите Ваш логин,
e-mail и пароль (пароль вводится два раза для подтверждения правильности
ввода).
3) На Ваш почтовый ящик, указанный при регистрации, будет отправлена ссылка
для подтверждение регистрации.
4) Пройдите по ссылке. Далее, Вам потребуется создать адрес для переписки -
нажмите кнопку Create random address. Все, вы можете отправить нам сообшение.
Отправить новое сообщение - нажмите кнопку New Message. В разделе to (кому)
укажите наш контактный адрес: BM-2cWkTNu9iFXi2Dw5oQAUAwK6E2pKTRea9t
Укажите тему сообщения и пишите сообщение. Потом нажимаете кнопку Send Message
(послать сообщение). Когда Вам придет ответ - его можно прочитать, нажав сверху
кнопку Inbox и нажав на тему сообшения. Ответ придет в течение 1-24 часов.
1Ke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spoiler]
А теперь немного о работе вируса.
[spoiler=Подробности]После запуска дроппера, извлечения компонентов стартует [B]zap.exe[/B]. Он в свою очередь запускает driver.bat
[CODE]@ECHO OFF
start "" "strt.exe"
PING -n 75 -w 1000 127.0.0.1 > nul
echo moar.exe>>system
[/CODE]
На экран выводится сообщение якобы об ошибке Microsoft Word
[QUOTE]Ошибка в файле или файл испорчен[/QUOTE]Это развод (инициатор - файл [COLOR="#0000CD"][B]strt.exe[/B][/COLOR]). После задержки в 75 секунд, создается файл [B]system[/B], в который записывается строка [QUOTE]moar.exe[/QUOTE]
Для недопущения запуска второй копии шифровальщика выполняется проверка наличия файла [B]testz[/B]. Если его нет, он создается. Происходит чтение содержимого файла [B]system[/B], в результате которого запускается файл [B]moar.exe[/B], который и вполняет основную работу.
В файл [B]psystem[/B] первоначально записывается сгенерированный на основе счетчика времени работы системы 64-байтный пароль для архивирования. Этот же ключ во время работы программы хранится в памяти.
Происходит поиск подходящих для архивирования файлов. Запуск архивации происходит следующим образом
[CODE]rar.exe a -ep1 -dw -p<ключ> <имя.rAr> <имя>[/CODE]где
[B]а[/B] - добавить в архив
[B]-ep1[/B] - исключить базовую папку из пути
[B]-dw[/B] - стереть исходный файл
Остальное, я думаю, понятно и так
После этого ключ шифруется с использованием алгоритма RSA и содержимого файла [spoiler=public.cod]public mod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
public key=932E18AD4465A6A2508998CBDFA3F647ABDB76306ECA4B2BB85D8FD1CF1C13DC8D318000F2986A3561FFC88F3B5684BD989A4EE1739A0465ECD709C392C20A70F14DA22A197999F0347BCA522B1B4D797AB220F7A0DA49CFF66C4B0632382138AF9A26F2FEC0D54B3ABBB1D71467083D60436C30236D130D786E22BAB68BCED[/spoiler]
и записывается в файл key (если он уже существует, этот шаг пропускается; если не существует, то преобразованный ключ записывается и в файл [B]psystem[/B], затирая в нем исходный ключ шифрования).
В папке с заархивированным файлом создается файл с сообщением вымогателя, в конец которого записывается зашифрованный ключ (причем никакой проверки на наличие файла с сообщением не происходит, и он создается каждый раз заново)[/spoiler]
[B][COLOR="#0000CD"]Оценка возможности дешифровки[/COLOR][/B]:
- возможна:
-- [U]ОПЫТНЫМ ПОЛЬЗОВАТЕЛЕМ[/U] (понимающим в программировании, владеющим навыками работы с программой WinHex, PE Tools), если вовремя заметить процесс шифрования, выдрать из памяти программы ключ;
-- если антивирусные компании ЗАХОТЯТ заниматься простым перебором ключей;
- невозможна:
-- если шифровальщик закончил работу, и остался только зашифрованный файл с ключом;
-- антивирусные компании НЕ СТАНУТ ЗАМОРАЧИВАТЬСЯ с перебором ключей.
P.S. Первоначально, когда впервые стали появляться темы с этой напастью, вирус детектировался Лабораторией Касперского как [B]not-a-virus:RiskTool.Win32.Crypter.hq[/B] (Virustotal отжигает старым детектом :)) Теперь детект обновили до [B]Trojan-Ransom.Win32.Agent.icj[/B]
Вложений: 1
Если вирус уже выгружен из памяти
[QUOTE=thyrex;1123108]
- невозможна:
-- если шифровальщик закончил работу, и остался только зашифрованный файл с ключом;
-- антивирусные компании НЕ СТАНУТ ЗАМОРАЧИВАТЬСЯ с перебором ключей.
[/QUOTE]
Есть небольшое дополнение. Можно найти решение в случае когда вирус закончил действие. Для этого надо определить какое значение функции GetTickCount было в момент запуска. Эта задача имеет решение (точно для Win7):
1. Ищем ПЕРВЫЙ зараженный файл на ВСЕХ дисках. Очень важно найти именно первый файл!!! Записываем дату и время. Отнимаем около 3-4 минут - это теоретическое время запуска вируса.
2. Идем в Панель управления - администрирование - просмотр событий - система. Там каждый день около 12 часов дня (вроде и при запуске винды тоже) делается запись о времени работы системы. Отсюда мы узнаем значение GetTickCount (правда в секундах) на время записи этого лога.
[ATTACH=CONFIG]477891[/ATTACH]
3. Зная эти факты можно вычислить значение GetTickCount при активации вируса, точнее интервал в 3 - 5 минут.
4. Немного математики: 5 минут это всего 300 000 значений GetTickCount, а значит пароля.
Так мы восстановили два компа за 3 дня.
