En 2013, Sophos
inform贸 casos de infecci贸n con un virus ransomware escrito en PowerShell. El ataque estaba dirigido a usuarios de Rusia. Despu茅s de cifrar los archivos, se les agreg贸 la extensi贸n .FTCODE, que dio el nombre al ransomware. El c贸digo malicioso se distribuy贸 durante el proceso de env铆o de correo no deseado, dentro del archivo HTA adjunto al mensaje. Despu茅s del cifrado, el ransomware dej贸 instrucciones en ruso sobre c贸mo hacer un rescate y descifrar los archivos.
Unos a帽os m谩s tarde, en el oto帽o de 2019, aparecieron nuevas menciones de infecci贸n con este ransomware. Los atacantes llevaron a cabo una campa帽a de phishing dirigida a los usuarios del servicio de correo electr贸nico certificado PEC utilizado en Italia y otros pa铆ses. Las v铆ctimas recibieron un correo electr贸nico con un documento adjunto. Dentro del documento hab铆a una macro que descargaba c贸digo malicioso. Adem谩s del cifrado, el ransomware instal贸 un gestor de arranque JasperLoader. Este troyano se puede usar para entregar varios malware. Por ejemplo, se conocen casos de descarga de una v铆ctima de un
troyano bancario Gootkit en una computadora .
A mediados de octubre, apareci贸 una versi贸n de ransomware, complementada con funciones para robar cuentas de usuario y contrase帽as de la computadora de la v铆ctima. Se extraen de navegadores populares y clientes de correo electr贸nico instalados con la configuraci贸n predeterminada.
PowerShell a menudo se usa para desarrollar malware, porque el int茅rprete de este lenguaje est谩 incluido de manera predeterminada en el sistema operativo Windows desde la s茅ptima versi贸n. Adem谩s, PowerShell permite que se ejecute c贸digo malicioso sin guardarlo en un archivo en la computadora de la v铆ctima. Positive Technologies tiene
una entrada de seminario web sobre estas amenazas.
Entrega de carga 煤til
Primero, se
nuove_tariffe_2020_8_af11773ee02ec47fd5291895f25948e7.vbs script
nuove_tariffe_2020_8_af11773ee02ec47fd5291895f25948e7.vbs , que inicia el proceso del int茅rprete de PowerShell.
Figura 1. Descarga de carga 煤tilEl int茅rprete recibe una l铆nea con los comandos que descargan la imagen
hxxps://static[.]nexilia[.]it/nextquotidiano/2019/01/autostrade-aumenti-tariffe-2019[.]jpg (Figura 2) y la guarda como tarifa. jpg en el directorio de archivos temporales.
Figura 2. La imagen tariffe.jpg utilizada para distraer la atenci贸n del usuarioLuego se abre esta imagen y, al mismo tiempo, se descarga el ransomware Invoke Expression de Internet, sin grabar en el disco. A diferencia de casos anteriores de infecci贸n, ahora el cuerpo del malware se codifica mediante el algoritmo Base64. El dominio "band [.] Positivelifeology [.] Com" (Figura 3), as铆 como "mobi [.] Confessyoursins [.] Mobi" se utilizan para entregar la carga 煤til.
Figura 3. Fragmento de tr谩fico con c贸digo de ransomwareRobo de credenciales de usuario
Como ya se se帽al贸, la nueva versi贸n del ransomware tiene un m贸dulo para robar cuentas de usuario y contrase帽as de navegadores populares y clientes de correo electr贸nico, es decir, de Internet Explorer, Mozilla Firefox, Chrome, Outlook y Mozilla Thunderbird.
Primero, el comando start chooseArch se env铆a al servidor atacante con el dominio surv [.] Surviveandthriveparenting [.] Com utilizando la solicitud POST del protocolo HTTP.
Figura 4. Se帽al sobre el comienzo de la ejecuci贸n del m贸dulo para el robo de identidadEl tr谩fico generado en esta etapa se caracteriza por una l铆nea de la forma guid = temp_dddddddddddd, seguida de comandos o datos robados (Figura 5). Esta l铆nea contiene una gu铆a 煤nica para cada muestra de ransomware.
Figura 5. C贸digo utilizado por el styler para la comunicaci贸n de red.Luego se extraen los nombres de usuario y las contrase帽as de la v铆ctima, se codifican mediante el algoritmo base64 y se env铆an a los atacantes.
Figura 6. C贸digo para enviar cuentas de usuarioEl siguiente es un fragmento de tr谩fico que contiene los datos robados enviados por la solicitud HTTP POST.
Figura 7. Datos de roboDespu茅s de que se env铆an las credenciales, el stiller, utilizando la solicitud POST del protocolo HTTP, se帽ala la finalizaci贸n de su trabajo.
Figura 8. Se帽al de robo de datos
exitosoInstale el gestor de arranque JasperLoader
La nueva versi贸n del ransomware a煤n descarga e instala el gestor de arranque JasperLoader (Figura 9), que se puede usar para distribuir varios programas maliciosos.
Figura 9. Fragmento de tr谩fico con c贸digo JasperLoaderEl gestor de arranque descargado se guarda en el archivo C: \ Users \ Public \ Libraries \ WindowsIndexingService.vbs y se agrega a las tareas programadas de Windows como WindowsApplicationService y al inicio utilizando WindowsApplicationService.lnk.
Figura 10. Instalaci贸n del gestor de arranqueCifrado de datos
Adem谩s de robar credenciales de usuario e instalar un gestor de arranque, FTCODE cifra los archivos en la computadora de la v铆ctima. Esta etapa comienza con la preparaci贸n del medio ambiente. El ransomware utiliza el archivo C: \ Users \ Public \ OracleKit \ quanto00.tmp para almacenar la hora en que se ejecut贸 por 煤ltima vez. Por lo tanto, se verifica la presencia de este archivo en el sistema y su tiempo de creaci贸n. Si el archivo existe en el sistema y han pasado 30 minutos o menos desde que se cre贸, el proceso finaliza (Figura 11). Este hecho puede usarse como vacuna.
Figura 11. Comprobaci贸n del tiempo transcurrido desde el 煤ltimo lanzamiento del ransomwareLuego, desde el archivo C: \ Users \ Public \ OracleKit \ w00log03.tmp, se lee el identificador, o se crea uno nuevo si falta el archivo.
Figura 12. Preparaci贸n de la identificaci贸n de la v铆ctima
Figura 13. Identificaci贸n de la v铆ctimaEl ransomware genera informaci贸n clave para el cifrado de archivos adicional.
Figura 14. Generando informaci贸n clave para el cifrado
Como puede ver en el c贸digo, la informaci贸n necesaria para recuperar los datos de la v铆ctima se env铆a mediante la solicitud POST del protocolo HTTP al nodo con el dominio food [.] Kkphd [.] Com.
Figura 15. La funci贸n de enviar informaci贸n clave para el cifrado (descifrado)En consecuencia, si logra interceptar el tr谩fico que contiene la sal para encriptar los archivos de la v铆ctima, puede recuperar todos los archivos de forma independiente sin transferir dinero a los atacantes.
Figura 16. Informaci贸n clave interceptadaPara el cifrado, el algoritmo de Rijndael se usa en modo CBC con un vector de inicializaci贸n basado en la l铆nea BXCODE INIT y una clave obtenida del BXCODE piratea la contrase帽a de su sistema y la sal que se gener贸 previamente.
Figura 17. Funci贸n de cifradoJusto antes del inicio del cifrado de archivos, la se帽al de "inicio" se env铆a en la solicitud POST del protocolo HTTP. Durante el proceso de encriptaci贸n, si el tama帽o del contenido del archivo fuente excede los 40,960 bytes, el archivo se trunca a este tama帽o. Se agrega una extensi贸n a los archivos, pero no .FTCODE, como en versiones anteriores del ransomware, sino una que se gener贸 aleatoriamente antes y que se envi贸 al servidor atacante como el valor del par谩metro ext.
Figura 18. Archivos cifradosY despu茅s de que la solicitud POST del protocolo HTTP se env铆e con una se帽al de "hecho" y el n煤mero de archivos cifrados.
Figura 19. El c贸digo principal del encriptadorLista completa de extensiones de archivo que est谩n encriptadas en la computadora de la v铆ctima:
Despu茅s de cifrar los archivos, el archivo de texto READ_ME_NOW.htm se crea en la computadora de la v铆ctima, lo que explica lo que se debe hacer para restaurar el contenido de los archivos.
Figura 20. Atacar a un atacanteComo puede ver, para cada v铆ctima se crea un enlace 煤nico que contiene el identificador del archivo C: \ Users \ Public \ OracleKit \ w00log03.tmp, y si est谩 da帽ado o eliminado, existe el riesgo de no recuperar los datos cifrados. Un enlace con un formulario para descifrar archivos y requerir un rescate est谩 disponible en este enlace en el navegador Tor. La recompra inicial es de $ 500 y aumenta con el tiempo.
Figura 21. Solicitud de canjeApagado
Una vez que los archivos de la v铆ctima est谩n encriptados, FTCODE elimina los datos que podr铆an usarse para recuperar los archivos encriptados.
Figura 22. Eliminar datosConclusi贸n
Este malware consiste en un gestor de arranque en forma de c贸digo VBS y una carga 煤til en forma de c贸digo de PowerShell. Se usa una imagen JPEG para enmascarar la infecci贸n. Las funciones del malware est谩n instalando el conocido gestor de arranque JasperLoader y encriptando los archivos de la v铆ctima para el rescate, as铆 como robando todas las cuentas y contrase帽as de los navegadores populares y clientes de correo electr贸nico.
El sistema de an谩lisis de tr谩fico de red PT NAD detecta la amenaza considerada como FTCODE.
Adem谩s, PT NAD almacena el tr谩fico de red, lo que ayudar谩 a descifrar los archivos de las v铆ctimas de este ransomware.
COI
6bac6d1650d79c19d2326719950017a8
bf4b8926c121c228aff646b258a4541e
banda [.] positivelifeology [.] com
mobi [.] confessyoursins [.] mobi
surv [.] survivalandthriveparenting [.] com
comida [.] kkphd [.] com
Publicado por Dmitry Makarov, Tecnolog铆as positivas