🈚️ 🌚 🚦 दो दोस्तों के पीसी को संक्रमित करें और अपने खुद के कंप्यूटर की अनलॉक कुंजी प्राप्त करें: क्रिप्टो रैंसमवेयर की एक नई योजना 🧑🏿‍🤝‍🧑🏻 🐢 👩🏼‍💻

रैंसमवेयर हाल ही में एक सामान्य प्रकार का मैलवेयर बन गया है। हम क्रिप्टोग्राफिक रैंसमवेयर प्रोग्रामों के बारे में बात कर रहे हैं, जो किसी उपयोगकर्ता के कंप्यूटर को संक्रमित करके, उसके सभी डेटा को एन्क्रिप्ट करते हैं, कुंजी हमलावर के सर्वर पर स्थित है। पीसी के संक्रमित होने के बाद, उपयोगकर्ता को आमतौर पर एक विकल्प दिया जाता है - अपनी फ़ाइलों को डिक्रिप्ट करने के लिए एक निश्चित राशि का भुगतान करने के लिए या इस तथ्य को स्वीकार करने के लिए कि उन्हें 2-3 दिनों के बाद हटा दिया जाएगा। इस शिकार के साथ, एक उलटी गिनती घड़ी दिखाई गई है।

बहुत सारे क्रिप्टोग्राफिक एक्सटॉर्शनिस्ट हैं, इन सभी के बीच बहुत दिलचस्प नमूने कभी-कभी पाए जाते हैं। उदाहरण के लिए, एक ऐसा कार्यक्रम है जो किसी भी चीज़ को एन्क्रिप्ट नहीं करता है, लेकिन बस क्रिप्टो रैनसमवेयर होने का नाटक करते हुए, उपयोगकर्ता फ़ाइलों को स्थायी रूप से हटा देता है। हां, कार्यक्रम पैसे की मांग करता है, लेकिन भुगतान के मामले में भी उपयोगकर्ता को कोई कुंजी प्राप्त नहीं होती है। भुगतान के साथ भी सब कुछ हटा दिया जाता है, यहां तक कि इसके बिना भी। एक अन्य कार्यक्रम प्रति घंटे कई फाइलें हटाता है ताकि पीड़ित तनाव में हो और तेजी से भुगतान करता है। हाल ही में, एक नया रैंसमवेयर "स्ट्रेन" सामने आया है जो नकदी में सबसे मूल तरीके का उपयोग करता है।

कुछ दिनों पहले, खुद को मालवेयरहंटरटेम कहने वाले सूचना सुरक्षा विशेषज्ञों के एक समूह ने एक दुर्भावनापूर्ण कार्यक्रम की खोज की, जिसे इसके निर्माता पॉपकॉर्न टाइम कहा जाता है। लेकिन पायरेटेड सामग्री के बजाय, कार्यक्रम अपने पीड़ितों के मनोरंजन का एक अलग तरीका प्रदान करता है। जिस उपयोगकर्ता का कंप्यूटर इस तरह के सॉफ़्टवेयर से संक्रमित है, उसे अपने स्वयं के डेटा को डिक्रिप्ट करने के लिए एक कुंजी प्राप्त करने के लिए दो अन्य लोगों के कंप्यूटर को संक्रमित करने की पेशकश की जाती है। यही है, आमतौर पर वाणिज्यिक उद्यमों द्वारा उपयोग किया जाने वाला सिद्धांत काम करता है: "दो दोस्तों को लाओ और मुफ्त में कुछ पाओ।" ई-कॉमर्स अपने शुद्धतम रूप में। सही है, पहले पीड़ित को चाबी प्राप्त करने के लिए, रेफरल लिंक के माध्यम से आए अन्य दो पीड़ितों को भुगतान करना होगा। इस शर्त के बिना, कोई कुंजी नहीं होगी।

मामले को बदतर बनाने के लिए, पॉपकॉर्न टाइम के डेवलपर्स ने एक और विशेषता जोड़ी: यदि उपयोगकर्ता डिक्रिप्शन कोड में 4 बार गलत तरीके से प्रवेश करता है, तो फाइलें नष्ट होनी शुरू हो जाती हैं। यह स्पष्ट है कि पॉपकॉर्न टाइम का उसी नाम के सॉफ्टवेयर से कोई लेना-देना नहीं है, जो "पायरेटेड" संसाधनों से मीडिया सामग्री में छलांग देता है।

साइबर अपराधियों को डेटा डिक्रिप्शन कुंजी प्रदान करने के लिए जो राशि मांगी जाती है वह बहुत बड़ी है। यह 1 बिटकॉइन है, जो वर्तमान विनिमय दर पर 760 अमेरिकी डॉलर है। इसके अलावा, यह सिर्फ फ़ाइल को खिसकाने में सक्षम नहीं होगा - वह उपयोगकर्ता जो एक पीड़ित को संक्रमित करना चाहता है जो पहले से ही साइबर अपराधियों की चाल में पड़ गया है, को एक रेफरल लिंक का पालन करना चाहिए। यदि दो लोग ऐसा करते हैं, तो संभवतः इस श्रृंखला में पहला व्यक्ति कुंजी प्राप्त कर सकता है।

कार्य का सामना करने के लिए सबसे आम उपयोगकर्ता के लिए, स्टार्टअप पर पॉपकॉर्न टाइम एक विंडो दिखाता है जिसमें पूरी स्थिति को समझाया गया है (स्क्रीनशॉट पोस्ट किया गया था)। उपयोगकर्ता या तो किसी को धोखा दिए बिना भुगतान कर सकता है, या फिर कठिन तरीके से जाकर दो लोगों के पीसी को संक्रमित कर सकता है। निर्देश के ठीक नीचे रेफरल लिंक दिखाया गया है। इसके अलावा, प्रत्येक संक्रमित सिस्टम को एक विशिष्ट आईडी असाइन किया जाता है, साथ ही उपयोगकर्ता को वह पता दिखाया जाता है जहां बिटकॉइन भेजना है, अगर वह अभी भी ऐसा करने का निर्णय लेता है।

इस सॉफ्टवेयर के सोर्स कोड का विश्लेषण करने पर पता चला कि इसे अभी भी अंतिम रूप दिया जा रहा है। उपरोक्त फ़ंक्शन पहले से ही "कोड में गलत तरीके से 4 बार दर्ज किया गया - पीसी डेटा को प्राप्त किया गया" अभी तक काम नहीं करता है, लेकिन यह पहले से ही कोड में पंजीकृत है। तो आप यह नहीं कह सकते हैं कि क्या सॉफ्टवेयर वास्तव में उपयोगकर्ता फ़ाइलों को हटा देगा यदि वे कोड का अनुमान लगाने की कोशिश करते हैं, या यह एक झांसा है। सिद्धांत रूप में, हमलावरों को इस तरह के एक समारोह को जोड़ने के लिए कुछ भी नहीं चाहिए - आमतौर पर क्रिप्टो रैंसमवेयर और अन्य प्रकार के दुर्भावनापूर्ण सॉफ़्टवेयर के डेवलपर्स के नैतिकता या नैतिक मुद्दे बहुत चिंतित नहीं हैं।

संक्रमण कैसे होता है?

स्टार्टअप पर, सॉफ़्टवेयर यह देखने के लिए जाँच करता है कि क्या वह इस पीसी पर पहले चलाया गया है, जो% AppData% \ be_here और% AppData% \ server_step_one फ़ाइलों की जाँच करता है। यदि कम से कम एक फ़ाइल मौजूद है, तो सॉफ़्टवेयर कंप्यूटर को फिर से संक्रमित किए बिना खुद को नष्ट कर देता है (हाँ, इस मैलवेयर का डेवलपर एक चीटर की तरह नहीं दिखना चाहता है, यह स्पष्ट है)। अन्यथा, बूट फ़ाइल अतिरिक्त फ़ाइलों को डाउनलोड करती है और एन्क्रिप्शन प्रक्रिया शुरू करती है।

तब सॉफ्टवेयर एफिल्स फ़ोल्डर, "माई डॉक्यूमेंट्स", "माय पिक्चर्स", "माय म्यूजिक" और "डेस्कटॉप" को खोजता है, जिसके बाद वह इसमें एक विशिष्ट एक्सटेंशन वाली फाइलों को खोजने की कोशिश करता है, जो उन्हें एईएस -255 एन्क्रिप्शन प्रोटोकॉल का उपयोग करके एन्कोडिंग करता है। क्रिप्टो रैंसमवेयर द्वारा संसाधित फ़ाइल को .filock एक्सटेंशन मिलता है।

यहां उन फ़ाइल एक्सटेंशनों की एक सूची दी गई है जिन्हें यह मालवेयर एन्क्रिप्ट करने के लिए देख रहा है:

एक्सटेंशन की सूची

.1cd, .3dm, .3ds, .3fr, .3g2, .3gp, .3pr, .7z, .7zip, .aac, .aaf, .ab4, .accdb, .accde, .accdr, .accdt, .ach, .acr, .act, .adb, .adp, .ads, .aep, .aepx, .aes, .aet, .agdl, .ai, .aif, .aiff, .ait, .al, .amr, .aoi, .apj, .apk, .arch00, .arw, .as, .as3, .asf, .asm, .asp, .aspx, .asset, .asx, .atr, .avi, .awg, .back, .backup, .backupdb, .bak, .bar, .bay, .bc6, .bc7, .bdb, .bgt, .big, .bik, .bin, .bkf, .bkp, .blend, .blob, .bmd, .bmp, .bpw, .bsa, .c, .cas, .cdc, .cdf, .cdr, .cdr3, .cdr4, .cdr5, .cdr6, .cdrw, .cdx, .ce1, .ce2, .cer, .cfg, .cfr, .cgm, .cib, .class, .cls, .cmt, .config, .contact, .cpi, .cpp, .cr2, .craw, .crt, .crw, .cs, .csh, .csl, .css, .csv, .d3dbsp, .dac, .dar, .das, .dat, .dazip, .db, .db0, .db3, .dba, .dbf, .dbx, .db_journal, .dc2, .dcr, .dcs, .ddd, .ddoc, .ddrw, .dds, .der, .des, .desc, .design, .dgc, .dir, .dit, .djvu, .dmp, .dng, .doc, .docb, .docm, .docx, .dot, .dotm, .dotx, .drf, .drw, .dtd, .dwg, .dxb, .dxf, .dxg, .easm, .edb, .efx, .eml, .epk, .eps, .erbsql, .erf, .esm, .exf, .fdb, .ff, .ffd, .fff, .fh, .fhd, .fla, .flac, .flf, .flv, .flvv, .forge, .fos, .fpk, .fpx, .fsh, .fxg, .gdb, .gdoc, .gho, .gif, .gmap, .gray, .grey, .groups, .gry, .gsheet, .h, .hbk, .hdd, .hkdb, .hkx, .hplg, .hpp, .htm, .html, .hvpl, .ibank, .ibd, .ibz, .icxs, .idml, .idx, .iff, .iif, .iiq, .incpas, .indb, .indd, .indl, .indt, .inx, .itdb, .itl, .itm, .iwd, .iwi, .jar, .java, .jnt, .jpe, .jpeg, .jpg, .js, .kc2, .kdb, .kdbx, .kdc, .key, .kf, .kpdx, .kwm, .laccdb, .layout, .lbf, .lck, .ldf, .lit, .litemod, .log, .lrf, .ltx, .lua, .lvl, .m, .m2, .m2ts, .m3u, .m3u8, .m4a, .m4p, .m4u, .m4v, .map, .max, .mbx, .mcmeta, .md, .mdb, .mdbackup, .mdc, .mddata, .mdf, .mdi, .mef, .menu, .mfw, .mid, .mkv, .mlb, .mlx, .mmw, .mny, .mos, .mov, .mp3, .mp4, .mpa, .mpeg, .mpg, .mpp, .mpqge, .mrw, .mrwref, .msg, .myd, .nc, .ncf, .nd, .ndd, .ndf, .nef, .nk2, .nop, .nrw, .ns2, .ns3, .ns4, .nsd, .nsf, .nsg, .nsh, .ntl, .nvram, .nwb, .nx2, .nxl, .nyf, .oab, .obj, .odb, .odc, .odf, .odg, .odm, .odp, .ods, .odt, .ogg, .oil, .orf, .ost, .otg, .oth, .otp, .ots, .ott, .p12, .p7b, .p7c, .pab, .pages, .pak, .pas, .pat, .pcd, .pct, .pdb, .pdd, .pdf, .pef, .pem, .pfx, .php, .pif, .pkpass, .pl, .plb, .plc, .plt, .plus_muhd, .pmd, .png, .po, .pot, .potm, .potx, .ppam, .ppj, .ppk, .pps, .ppsm, .ppsx, .ppt, .pptm, .pptx, .prel, .prf, .prproj, .ps, .psafe3, .psd, .psk, .pst, .ptx, .pwm, .py, .qba, .qbb, .qbm, .qbr, .qbw, .qbx, .qby, .qcow, .qcow2, .qdf, .qed, .qic, .r3d, .ra, .raf, .rar, .rat, .raw, .rb, .rdb, .re4, .rgss3a, .rim, .rm, .rofl, .rtf, .rvt, .rw2, .rwl, .rwz, .s3db, .safe, .sas7bdat, .sav, .save, .say, .sb, .sd0, .sda, .sdf, .ses, .shx, .sid, .sidd, .sidn, .sie, .sis, .sldasm, .sldblk, .sldm, .sldprt, .sldx, .slm, .snx, .sql, .sqlite, .sqlite3, .sqlitedb, .sr2, .srf, .srt, .srw, .st4, .st5, .st6, .st7, .st8, .stc, .std, .sti, .stl, .stm, .stw, .stx, .sum, .svg, .swf, .sxc, .sxd, .sxg, .sxi, .sxm, .sxw, .syncdb, .t12, .t13, .tap, .tax, .tex, .tga, .thm, .tif, .tlg, .tor, .txt, .upk, .v3d, .vbox, .vcf, .vdf, .vdi, .vfs0, .vhd, .vhdx, .vmdk, .vmsd, .vmx, .vmxf, .vob, .vpk, .vpp_pc, .vtf, .w3x, .wab, .wad, .wallet, .wav, .wb2, .wma, .wmo, .wmv, .wotreplay, .wpd, .wps, .x11, .x3f, .xf, .xis, .xla, .xlam, .xlk, .xll, .xlm, .xlr, .xls, .xlsb, .xlsb3dm, .xlsm, .xlsx, .xlt, .xltm, .xltx, .xlw, .xml, .xqx, .xxx, .ycbcra, .yuv, .zip, .ztmp

एन्क्रिप्शन प्रक्रिया के दौरान, पॉपकॉर्न टाइम एक इंस्टॉलेशन विंडो की तरह कुछ प्रदर्शित करता है। जाहिर है, यह इसलिए किया जाता है ताकि उपयोगकर्ता कुछ भी बुरा न सोचें और सुरक्षित महसूस करें।

उसके बाद, दो फाइलें बनाई जाती हैं - Restore_your_files.html और Restore_your_files.txt। कार्यक्रम एक्सटेंशन .html के साथ उपयोगकर्ता को पहली फ़ाइल खोलता और दिखाता है।

इस सॉफ्टवेयर की खोज करने वाले विशेषज्ञ दावा करते हैं कि यह अभी भी काफी बदल सकता है, क्योंकि इसके निर्माता सक्रिय रूप से मैलवेयर को संशोधित करने के लिए काम कर रहे हैं।

इस रैनसमवेयर से जुड़ी रजिस्ट्री कुंजी है: HKCU \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Run "Popcorn_Time" [path_to] \ popcorn_time.exe। इंस्टालर हैश - SHA256: fd370e998215667c31ae1ac6ee81223732d7c7e7f44dc9523f2517adffa58d51।

आप सुनिश्चित हो सकते हैं कि जल्द ही क्रिप्टो रैंसमवेयर के अधिक दिलचस्प उदाहरण दिखाई देंगे। वैसे, हाल ही में दुर्भावनापूर्ण कार्यक्रमों में से एक ने सैन फ्रांसिस्को रेलवे के यात्रियों के लिए मुफ्त यात्रा की। इस सॉफ्टवेयर ने सभी भुगतान टर्मिनलों को संक्रमित कर दिया था, इसलिए यात्री बस भुगतान नहीं कर सकते थे और उन्हें मुफ्त में (निश्चित रूप से) अस्थायी रूप से सवारी करने की अनुमति थी ।

संक्रमण कैसे होता है?

More articles: