रैंसमक क्रिप्टोग्राफिक रैंसमवेयर बस फाइलों को हटा देता है, कुछ भी नहीं एन्क्रिप्ट करता है

क्रिप्टो रैंसमवेयर हर जगह है। प्रोग्राम जो उपयोगकर्ता फ़ाइलों को एन्क्रिप्ट करते हैं और फिर डिक्रिप्टिंग डेटा के लिए फिरौती की आवश्यकता होती है, उनके रचनाकारों के लिए बहुत सारे पैसे लाते हैं। इस तरह के सॉफ्टवेयर के बीच वास्तव में शानदार कार्यक्रम हैं। कई मामलों में, ऐसे मैलवेयर के डेवलपर्स अपना वादा पूरा करते हैं: यदि उपयोगकर्ता भुगतान करता है, तो उसे फ़ाइलों को डिक्रिप्ट करने के लिए एक कुंजी मिलती है। लेकिन यह हमेशा ऐसा नहीं होता है - कभी-कभी भुगतान के बाद कुंजी नहीं आती है।

ऐसा भी होता है कि न केवल एक कुंजी है, बल्कि फाइलें भी हैं। रैंसमक एक मैलवेयर है जो केवल एक क्रिप्टो रैनसमवेयर होने का दिखावा करता है। सॉफ़्टवेयर का दावा है कि फ़ाइलें एन्क्रिप्ट की गई हैं, हालांकि वास्तव में उपयोगकर्ता स्क्रीन पर जो कुछ भी देखता है वह एक कमांड लाइन है जिसमें हटाए गए फ़ाइलों की सूची है। जैसे ही फाइलें हटाई जाती हैं, प्रोग्राम एक पॉप-अप विंडो प्रदर्शित करता है जो आपसे एन्क्रिप्शन कुंजी प्राप्त करने के लिए पैसे देने के लिए कहता है।



दिखाई देने वाली सूचना विंडो में, उपयोगकर्ता यह कहते हुए एक संदेश देखता है कि सभी फाइलें डिस्क के छिपे हुए खंड में स्थानांतरित हो गई हैं और एन्क्रिप्टेड हैं; सभी महत्वपूर्ण कार्यक्रम अवरुद्ध हैं; कंप्यूटर सामान्य रूप से काम नहीं कर सकता है। यह भी संकेत दिया जाता है कि बिटकॉइन में भुगतान करते समय, सब कुछ अपनी जगह पर लौट आएगा - उपयोगकर्ता को अपनी फाइलें वापस मिलेंगी।

खिड़की में थोड़ा कम एक क्षेत्र है जहां आपको भुगतान करने के बाद अपना डेटा दर्ज करना होगा। माना जाता है कि पीड़ित के भुगतान डेटा को "सत्यापित" करना है। यह भी कहा जाता है कि भुगतान किए बिना एक बटन दबाने से सभी फाइलों को पूरी तरह से हटा दिया जाता है। यह सब जो सॉफ्टवेयर करता है वह उपयोगकर्ता को सत्यापन प्रक्रिया का प्रदर्शन करने वाले PNG चित्र प्राप्त करने के लिए HTTP GET अनुरोध को निष्पादित करता है। वास्तव में, प्रोग्राम कुछ भी चेक नहीं करता है।

इसके अलावा, भुगतान मदद नहीं करेगा - पीसी संक्रमित होने पर सभी फाइलें क्रिप्टो-रैंसमवेयर के साथ हटा दी जाती हैं। मालवेयर के लेखक पीड़ित को पैसे देने की कोशिश कर रहे हैं। सॉफ्टवेयर खुद काफी सरल है - बहुत अनुभवी हमलावरों ने स्पष्ट रूप से इस पर काम नहीं किया है।

वायरस एक निष्पादन योग्य .NET फ़ाइल के रूप में उपयोगकर्ता के कंप्यूटर में प्रवेश करता है। फ़ाइल को पुन: जारी किए गए एक डिजिटल प्रमाण पत्र के साथ हस्ताक्षरित किया जाता है [।] नेट। प्रमाण पत्र जारी करने की तारीख 6 जुलाई, 2016 है।



जब पीड़ित फ़ाइल खोलता है, तो सॉफ़्टवेयर कई कार्य करता है। सबसे पहले, प्रोग्राम खुद को% APPDATA% \ के लिए कॉपी करता है, और स्टार्टअप पर रजिस्टर भी करता है। इसके अलावा, यह% TEMP% \ में अनपैक्ड है।





कार्यक्रम एक निष्पादन योग्य फ़ाइल बनाता है और चलाता है जो पीड़ित के सिस्टम में कई फ़ोल्डर्स ढूंढता है और इन फ़ाइलों को "एन्क्रिप्ट" करने का नाटक करता है। वास्तव में, सब कुछ स्थायी रूप से हटा दिया जाता है।



इस मामले में मैलवेयर पूरी तरह से अपने नाम को सही ठहराता है, क्योंकि यह उपयोगकर्ता के सिस्टम को मारने वाली कई अन्य क्रियाएं करता है:

• डेटा (सिस्टम पुनर्स्थापना) का बैकअप लेने के लिए जिम्मेदार सभी विंडोज फ़ाइलों को हटा दें;
• छाया प्रतियाँ हटाता है;
• सुरक्षित मोड में सिस्टम शुरू करने के लिए जिम्मेदार कई रजिस्ट्री कुंजियों को हटाता है।

इस सब के बाद, सिस्टम JPEG फ़ाइल का अनुरोध करता है ताकि डिक्रिप्टिंग फ़ाइलों के लिए भुगतान करने की आवश्यकता के बारे में एक संदेश प्रदर्शित किया जा सके।



यह सब पूरा हो जाने के बाद, स्क्रिप्ट कंप्यूटर को बंद कर देती है। ऊपर वर्णित सभी चरणों को हर बार जब आप पीसी चालू करते हैं, तो प्रदर्शन किया जाएगा। और हर बार मैलवेयर अधिक से अधिक नई फ़ाइलों को हटाता है और भुगतान करने की आवश्यकता के बारे में एक संदेश प्रदर्शित करता है।



यहां उन फ़ाइलों की एक सूची दी गई है जो रैंसमैक हमलावर के सर्वर से चल रही हैं। उन्होंने डेटा को बाधित करने की भी जहमत नहीं उठाई।

मैलवेयर का अध्ययन करने वाले सूचना सुरक्षा विशेषज्ञों ने संदेश में निर्दिष्ट वायरस को एक ई-मेल पता भेजा। "पीड़ित" ने वायरस के निर्माता से मदद का अनुरोध करते हुए कहा कि वह बिटकॉइन के साथ लेनदेन को सही ढंग से पूरा नहीं कर सकता है। अनुरोध के तुरंत बाद, एक प्रतिक्रिया आई।



मदद के लिए एक और अनुरोध था: “मुझे इन चीजों के बारे में कुछ भी समझ नहीं आ रहा है। मुझे यह समझ में नहीं आया कि इसका क्या अर्थ है या इसकी लागत कितनी है, लेकिन मैं अपना कंप्यूटर वापस लेना चाहता हूं। मेरे पास अपने परिवार की बहुत सी तस्वीरें हैं और मैं ब्राउज़ भी नहीं कर सकता। क्या कोई जगह है जहाँ मैं अपना डेटा भेज सकता हूँ, या शायद कोई फ़ोन नंबर है जिस पर आप मुझे आपकी मदद करने दे सकते हैं? मुझे नहीं पता कि मैंने क्या किया है, लेकिन मेरी बेटी का कंप्यूटर यह बुरा संदेश नहीं दिखाता है, मुझे क्या करना चाहिए? कृपया मेरी तस्वीरें वापस करने में मदद करें, वे महत्वपूर्ण हैं! "

, . . , Bitcoin, , . 1G6tQeWrwp6TU1qunLjdNmLTPQu7PnsMYd. , , , , $277.61. , , 20 . .

अब तक, यह मैलवेयर बहुत अधिक नहीं फैला है। रैंस्कैम पहले मैलवेयर में से एक हो सकता है, जिसके निर्माता अतिरिक्त काम नहीं करना चाहते हैं, लेकिन केवल पैसा चाहते हैं। एक जटिल क्रिप्टो रैनसमवेयर क्यों बनाएं, इसे बनाने के लिए समय और पैसा खर्च करें, अगर आप इसे एक नियमित वायरस के रूप में प्रच्छन्न कर सकते हैं जो फ़ाइलों को हटा देता है और धन की आवश्यकता होती है? सवाल बयानबाजी का है।

Source: https://habr.com/ru/post/hi396123/