सोडिनोकिबी रैंसमवेयर: एक विस्तृत अध्ययन

Sodinokibi ransomware को हाल ही में समाचारों के बारे में बताया गया था, लेकिन इस मैलवेयर के ब्योरे में कुछ ही गोता लगा पाया। आज हम Sodinokibi को करीब से जानने की कोशिश करेंगे, सूचना प्रणाली को नए खतरे से बचाने के लिए प्राथमिकता वाले वैक्टर की पहचान करने के लिए रैंसमवेयर के सिद्धांतों पर विचार करेंगे।



पाठ लेखक: रविकांत तिवारी और अलेक्जेंडर कोशेलेव

सोदीनोकिबी के बारे में हम क्या जानते हैं?

Sodinokibi सबसे अधिक संभावना उन हमलावरों द्वारा फैलाया जा रहा है जो गैंडाब परिवार से रैंसमवेयर के हमलों के लिए जाने जाते थे, जो कि भूमिगत मंचों पर रिपोर्टों को देखते हुए, अब विकसित नहीं होंगे।

पीड़ित के कंप्यूटर तक पहुँच प्राप्त करने के लिए सोडिनोकोबी Oracle WebLogic भेद्यता (CVE-2019-2725) का उपयोग करता है। एक बार सिस्टम में, मैलवेयर बिना किसी प्रतिबंध के पीसी की सभी फाइलों और संसाधनों तक पहुंच प्राप्त करने के लिए विस्तारित अधिकारों के साथ खुद को चलाने की कोशिश करता है ...
Sodinokibi ईरान, रूस और पूर्व USSR के अन्य देशों में कंप्यूटर को संक्रमित नहीं करने की कोशिश करता है।

रैनसमवेयर प्रोग्राम उपयोगकर्ता फ़ाइलों को एन्क्रिप्ट करने के लिए एईएस और साल्सा 20 एल्गोरिदम का उपयोग करता है। एईएस का उपयोग सत्र कुंजी को एन्क्रिप्ट करने के लिए किया जाता है, साथ ही प्रबंधन सर्वर को भेजे गए डेटा।

उपयोगकर्ता फ़ाइलों को Salsa20 का उपयोग करके एन्क्रिप्ट किया गया है।

चाबियां उत्पन्न करने और वितरित करने के लिए, सोडिनोकोबी अण्डाकार वक्रों पर डिफी-हेलमैन एल्गोरिथ्म का उपयोग करता है।

मशीन पर एक बार, वायरस बैकअप फ़ोल्डर से सभी फ़ाइलों को तुरंत हटा देता है।

फिलहाल, रैंसमवेयर 0.32806964 बीटीसी (, $ 2,500) के लिए फ़ाइलों को एन्क्रिप्ट करने के लिए पहुंच बहाल करने के लिए कह रहा है। इसके अलावा, अगर 4 दिनों के भीतर फिरौती का भुगतान नहीं किया जाता है, तो जबरन वसूली करने वाले लोग रकम दोगुना करने का वादा करते हैं ...

सोडिनोकोबी कैसे काम करता है?

हमने अपनी प्रयोगशाला में सोदोनिकोबी के एक उदाहरण का अध्ययन किया। रैंसमवेयर को एक कस्टम पैकर द्वारा पैक किया गया था। इसके अलावा, सफल अनपैकिंग के बाद भी, कोड में कोई पठनीय लाइनें नहीं थीं। इसके अलावा, सॉफ्टवेयर किसी भी सिस्टम लाइब्रेरी या एपीआई को आयात नहीं करता है। इसलिए, स्थैतिक एंटीवायरस जो पठनीय स्ट्रिंग्स और आयातित एपीआई की तालिकाओं के आधार पर हस्ताक्षर का उपयोग करते हैं, उन्हें इसका पता लगाना बहुत मुश्किल होगा।

एपीआई नाम और अन्य मापदंडों को डिक्रिप्ट किया गया था, जबकि सॉफ्टवेयर RC4 एल्गोरिदम का उपयोग करके चल रहा था। एंटीवायरस के लिए पता लगाने को और भी कठिन बनाने के लिए, यह रैंसमवेयर डीजेबी हैश का उपयोग करते हुए स्ट्रिंग्स पर संचालन करता है, न कि खुद स्ट्रिंग्स के द्वारा ...

प्रारंभ

सोडिनोकोबी एक गतिशील आयात तालिका बनाकर शुरू होता है। सबसे पहले, कार्यक्रम आश्वस्त है कि म्यूटेक्स की जांच करने की विधि द्वारा यह प्रणाली में एकमात्र प्रति है। जाँच करने के बाद, यह RC4 का उपयोग करके JSON कॉन्फ़िगरेशन को डिक्रिप्ट करता है, जिसे प्रोग्राम फ़ाइल में संग्रहीत किया जाता है और "exp" कुंजी के बूलियन मान की जाँच करता है। यदि इसका मान "सत्य" है, तो सोडिनोकोबी एक शोषण शुरू करने की कोशिश करता है। यह हमारे नमूने में ऐसा था, इसलिए इसने कमजोरियों का फायदा उठाने का कार्य किया




अस्वीकृत JSON कॉन्फ़िगरेशन

11 सितंबर, 2018 (KB4457138) का अद्यतन कंप्यूटर पर स्थापित किया गया था या नहीं यह देखने के लिए शोषण चेक को चलाने वाला कोड। यह पैच नीचे कई कमजोरियों को संबोधित करता है। और अगर यह मशीन पर नहीं है, तो रैंसमवेयर उस प्लेटफॉर्म पर निर्भर करता है, जिस पर मैलवेयर निष्पादित होता है, 32- या 64-बिट शेलकोड लॉन्च करने के लिए आगे बढ़ता है। हमारा मानना ​​है कि रैंसमवेयर सीवीई-2018-8440 का उपयोग करके किसी प्रशासक को विशेषाधिकार बढ़ाने की कोशिश कर रहा है।


स्निपेट 1

KB4457138 पैच को ठीक करने वाली भेद्यता की सूची:

पैच KB4457138 कमजोरियों को ठीक करता है:

• CVE-2018-8457, CVE-2018-8335, CVE-2018-8424, CVE-2018-8455, CVE-2018-8468, CVE-2018-8447, CVE-2018-8475, CVE-2018-8271, CVE- 2018 2018-8440, CVE-2018-8464, CVE-2018-8469, CVE-2018-8421, CVE-2018-8442, CVE-2018-8367, CVE-2018-8443, CVE-2018-8465, CVE-2018- 2018 8419, CVE-2018-8466, CVE-2018-8410, CVE-2018-8467, CVE-2018-8462, CVE-2018-8452, CVE-2018-8446, CVE-2018-8449, CVE-2018-8420, CVE-2018-8433, CVE-2018-8438, CVE-2018-8435, CVE-2018-8456, CVE-2018-8354, CVE-2018-8434, CVE-2018-8470, CVE-2018-8332, CVE- 2018 2018-0965, CVE-2018-8315, CVE-2018-8439, CVE-2018-8392, CVE-2018-8425, CVE-2018-8393।

यदि सिस्टम में भेद्यता का पता नहीं लगाया गया है और प्रक्रिया नियमित उपयोगकर्ता के रूप में काम करना जारी रखती है, तो RUNAS कमांड का उपयोग एक और उदाहरण शुरू करने के लिए किया जाएगा, लेकिन प्रशासनिक अधिकारों के साथ, और सीमित विशेषाधिकारों के साथ काम करने वाला वर्तमान पूरा हो जाएगा। नीचे स्क्रीनशॉट में पूरा छद्म कोड दिखाया गया है।



Sodinokibi सफलतापूर्वक व्यवस्थापक मोड में शुरू होने के बाद, सॉफ्टवेयर एक अतिरिक्त प्रारंभिक जांच करता है और JSON कॉन्फ़िगरेशन में "भाई" कुंजी के मूल्य को स्पष्ट करता है और स्थान का देश पता लगाता है। यह निम्न देशों के कंप्यूटरों को संक्रमित करने की कोशिश नहीं करेगा, अगर कंप्यूटर सेटिंग्स में ऐसे स्थान पैरामीटर सेट किए गए थे।


भाषा आईडी को परिष्कृत करना

अपवाद देशों की सूची

• रोमानिया, रूस, यूक्रेन, बेलारूस, एस्टोनिया, लातविया, लिथुआनिया, ताजिकिस्तान, ईरान, अर्मेनिया, अजरबैजान, जॉर्जिया, कजाकिस्तान, किर्गिस्तान, तुर्कमेनिस्तान, उजबेकिस्तान, तातारस्तान

* संपादक का नोट: अज्ञात कारण से, लेखक विशेष रूप से रूस में तातार लोकेल को उजागर करते हैं

परीक्षण पास करने के बाद, मैलवेयर MySQL फ़ाइलों तक पहुँच प्राप्त करने और उन्हें एन्क्रिप्ट करने के लिए mysql.exe प्रक्रिया (यदि यह शुरू किया गया था) को समाप्त कर देता है। उसके बाद, ransomware vssadmin का उपयोग करके विंडोज की छाया प्रतियों को हटाता है, और bownedit का उपयोग करके विंडोज रिकवरी सिस्टम को भी निष्क्रिय करता है:

vssadmin.exe Delete Shadows /All /Quiet & bcedit /set {default}
recoveryenabled No & bcedit /set {default} bootstatuspolice ignorealfailures

उपयोगकर्ता फ़ाइलों को एन्क्रिप्ट करने से पहले, Sodinokibi नेटवर्क फ़ोल्डर सहित सभी फ़ाइल सिस्टम को खोजता है, "बैकअप" नाम के साथ निर्देशिकाओं को खोजने के लिए और उन्हें स्थायी रूप से हटा देता है। यह दिलचस्प है कि निर्देशिका को हटाने से पहले, मैलवेयर पहले ऐसे सभी फ़ोल्डरों में सामग्री को प्रतिस्थापित करता है, जो सिद्धांत रूप से पुनर्प्राप्ति को असंभव बनाने के लिए बाइट्स के यादृच्छिक सेट के साथ होता है। सौभाग्य से, Acronis बैकअप फ़ाइलों को इतनी आसानी से हटाया नहीं जा सकता है, क्योंकि वे कर्नेल स्तर पर संरक्षित हैं, विशेष रूप से रैंसमवेयर को ऐसी कार्रवाई करने से रोकने के लिए।

प्रमुख पीढ़ी

सोदिनोकोबी डिफी - हेलमैन एलिप्टिक कर्व जेनरेशन और एक्सचेंज प्रोटोकॉल (ईसीडीएच) का उपयोग करता है। उत्पन्न सत्र कुंजियाँ सममित एन्क्रिप्शन एल्गोरिदम में उपयोग की जाती हैं, और विभिन्न प्रकार के डेटा अलग-अलग तरीकों - AES और Sals2020 का उपयोग करके एन्क्रिप्ट किए जाते हैं।

AES का उपयोग निजी कुंजी और सार्वजनिक कुंजी की एक जोड़ी से एक निजी कुंजी को एन्क्रिप्ट करने के लिए किया जाता है जो उपयोगकर्ता मशीन पर स्थानीय रूप से उत्पन्न होती हैं। यह नेटवर्क पर ट्रांसमिशन के दौरान डेटा को एन्क्रिप्ट भी करता है। Salsa20 का उपयोग उपयोगकर्ता फ़ाइलों को एन्क्रिप्ट करने के लिए किया जाता है।

सोदिनोकोबी में दो अलग-अलग सार्वजनिक कुंजी हैं, जिनमें से एक JSON कॉन्फ़िगरेशन का हिस्सा है, और दूसरा बाइनरी में एम्बेडेड है। इन सार्वजनिक कुंजियों का उपयोग मशीन पर बनाई गई निजी कुंजी को एन्क्रिप्ट करने के लिए किया जाएगा। मुख्य पीढ़ी और एन्क्रिप्शन के विशिष्ट चरण निम्नानुसार हैं:

चरण 1. स्थानीय मशीन पर एक निजी (गुप्त, यादृच्छिक संख्या) और सार्वजनिक कुंजी से सत्र जोड़ी की उत्पत्ति।


स्थानीय निजी और सार्वजनिक कुंजी पीढ़ी

JSON कॉन्फ़िगरेशन से सार्वजनिक कुंजी का उपयोग करके चरण 1 से निजी कुंजी का एन्क्रिप्शन होता है

चरण 2. निजी और सार्वजनिक कुंजी की एक और जोड़ी बनाएं।

चरण 3. चरण 2 से निजी कुंजी का उपयोग करना और सार्वजनिक कुंजी (पीके कुंजी मूल्य), जेएसएन से एक सार्वजनिक कुंजी उत्पन्न होती है, और हैशिंग के बाद, एक सममित कुंजी प्राप्त की जाती है।


एक साझा कुंजी का उपयोग करके एक सममित कुंजी उत्पन्न करें

चरण 4. एक 16-बिट IV (आरंभीकरण वेक्टर) की पीढ़ी।

चरण 5. कुंजी और IV के साथ एईएस का उपयोग करके चरण 1 में उत्पन्न निजी कुंजी को एन्क्रिप्ट करें, जो चरण 3 और 4 के दौरान प्राप्त किए गए थे।

चरण 6. एन्क्रिप्टेड निजी कुंजी के लिए CRC32 की गणना, जो चरण 5 में बदल गई।

चरण 7. चरण 5 से एन्क्रिप्टेड निजी कुंजी वाले बफर के अंत में IV और CRC32 को जोड़ना।

चरण 8. ऑफसेट (चिह्नित "sk_key") के साथ संबंधित फ़ाइल को बफर सहेजना।


हमलावर की सार्वजनिक कुंजियों का उपयोग करके चरण 1 से निजी कुंजी को एन्क्रिप्ट करें

बाइनरी फ़ाइल में निहित सार्वजनिक कुंजी का उपयोग करके चरण 1 से निजी कुंजी को एन्क्रिप्ट करें।

चरण 9. चरण 3 में बाइनरी फ़ाइल में एम्बेडेड एक अन्य सार्वजनिक कुंजी का उपयोग करके चरण 2 से 7 दोहराएं।

चरण 10. मेमोरी में ऑफसेट के साथ मैप की गई फ़ाइल में बफर को सहेजना (निशान "0_key")
sk_key, 0_key और pk_key को रजिस्ट्री के अनुसार लिखा जाता है, जो प्रोग्राम द्वारा प्राप्त एक्सेस राइट्स पर निर्भर करता है ...

HKLM \ SOFTWARE \ recfg \ sk_key या HKCU \ SOFTWARE \ recfg \ sk_key
HKLM \ SOFTWARE \ recfg \ 0_key या HKCU \ SOFTWARE \ recfg \ 0_key
HKLM \ SOFTWARE \ recfg \ pk_key या HKCU \ SOFTWARE \ recfg \ pk_key

रजिस्ट्री में एन्क्रिप्ट की गई गुप्त कुंजी
Salsa20 के साथ व्यक्तिगत फ़ाइलों के लिए मुख्य पीढ़ी

चरण 11. सार्वजनिक और निजी कुंजी से एक नई जोड़ी बनाएं।

चरण 12. Salsa20 में कुंजी उत्पन्न करने के लिए आवश्यक अगली सममित कुंजी प्राप्त करने के लिए चरण 2 और हैश में बनाई गई सत्र सार्वजनिक कुंजी का उपयोग करके एक साझा कुंजी उत्पन्न करें।

चरण 13. साल्सा 20 में 256-बिट कुंजी (32 बाइट्स) स्थापित करना

चरण 14. साल्सा 20 कुंजी के लिए 8-बिट IV उत्पन्न करें

चरण 15. साल्सा 20 प्रमुख पीढ़ी

चरण 16. Salsa20 के साथ उपयोगकर्ता फ़ाइलों को एन्क्रिप्ट करने के लिए Salsa20 key_state का उपयोग करना।


Salsa20 प्रत्येक फ़ाइल के लिए महत्वपूर्ण पीढ़ी
प्रत्येक एन्क्रिप्टेड फ़ाइल के लिए चरण 11 से 16 तक दोहराएँ।

एन्क्रिप्शन और डिक्रिप्शन का चित्रण

हमलावर और पीड़ित के कंप्यूटर के बीच चाबियाँ कैसे उत्पन्न और संचारित होती हैं, इसे बेहतर ढंग से समझने के लिए, आपको यह पता लगाने की आवश्यकता है कि डिफि हेलमैन एल्गोरिदम कैसे काम करता है - यह चित्रण द्वारा करना आसान है।

एन्क्रिप्शन प्रक्रिया

डिफी-हेलमैन एलिप्टिक कर्व कुंजी एक्सचेंज (ECDH)


सोडिनोकिबी में एन्क्रिप्शन प्रक्रिया का विस्तृत विवरण

डेटा को डिक्रिप्ट करने के लिए, हमलावर की निजी कुंजी की आवश्यकता होगी। लेकिन वे कहीं भी प्रकाशित नहीं होते हैं, और इसलिए फ़ाइलों को पुनर्स्थापित करना असंभव है।


डिक्रिप्शन प्रक्रिया (हमलावर का रहस्य उसकी निजी कुंजी है)


उपयोगकर्ता फ़ाइलों को डिक्रिप्ट करने की सरलीकृत प्रक्रिया नीचे दी गई है।

स्थानीय हार्ड ड्राइव और नेटवर्क फ़ोल्डर पर फ़ाइल एन्क्रिप्शन

उपयोगकर्ता फ़ाइलों को एन्क्रिप्ट करने के लिए, सोडिनोकिबी I / O कम्प्लीटेशन पोर्ट्स का उपयोग करता है और कई एन्क्रिप्शन स्ट्रीम लॉन्च करता है, लेकिन मशीन पर प्रोसेसर कोर की तुलना में दोगुना से अधिक नहीं, इन धाराओं को विशेष रूप से बनाए गए I / O पोर्ट के साथ जोड़ देता है। ये थ्रेड फ़ाइल एन्क्रिप्शन शुरू करने से पहले I / O पोर्ट पर आने के लिए पैकेट का इंतजार करने के लिए GetQueuedCompletionStatus Win API फ़ंक्शन का उपयोग करते हैं।

जैसे ही धाराएँ बनती हैं और I / O पैकेटों के आने का इंतज़ार करने लगती हैं, Sodinokibi सभी स्थानीय ड्राइवों और सभी नेटवर्क फ़ोल्डरों में CDROM और RAMDISK को छोड़कर उपयोगकर्ता फ़ाइलों के माध्यम से छंटनी शुरू कर देता है और उन्हें इसी I / O पूर्ण पोर्ट पर असाइन करता है। सभी फ़ाइलों के लिए जो फ़ोल्डर, फ़ाइलों और एक्सटेंशनों के नामों की अपवाद सूची में नहीं आती हैं, AddFileToIoCompletionPort फ़ंक्शन को कॉल किया जाता है और फिर PostQueuedCompletionStatus यह एन्क्रिप्शन स्ट्रीम के लिए निष्पादन पास करता है, जो फ़ाइल एन्क्रिप्शन शुरू करने के लिए I / O पूरा करने वाले पोर्ट की जानकारी की प्रतीक्षा करता है।

AddFileToIoCompletionPort फ़ंक्शन भी एन्क्रिप्ट की जाने वाली प्रत्येक फ़ाइल के लिए एक अद्वितीय Salsa20 कुंजी बनाता है, और अन्य मेटाडेटा के साथ एन्क्रिप्शन स्ट्रीम के लिए Salsa20 कुंजी को पास करता है जिसे पोस्टक्यूयूआईटिप्लस स्टेप्टस विन एपीआई फ़ंक्शन के lpOverlapped पैरामीटर का उपयोग करके एन्क्रिप्शन के बाद दर्ज किया जाना चाहिए।

प्रत्येक निर्देशिका में फ़ाइलों को संसाधित करने के बाद, अपवाद को छोड़कर, एक फ़ाइल फिरौती की मांग के साथ बनाई गई है। जब एन्क्रिप्ट की जाने वाली फाइलें रन आउट हो जाती हैं, तो थ्रेड एक लूप में चले जाते हैं और तब तक इंतजार करते हैं जब तक एन्क्रिप्टेड और रीनेम की गई फ़ाइलों की कुल संख्या I / O पूर्ण पोर्ट पर स्थानांतरित फ़ाइलों की कुल संख्या तक नहीं पहुंच जाती।

अंत में, सिस्टम एक ध्वज सेट करता है जो दर्शाता है कि एन्क्रिप्ट करने के लिए और अधिक फाइलें नहीं हैं और प्रक्रिया के पूरा होने का संकेत देने वाले कई I / O पैकेट भेजता है। इसके लिए धन्यवाद, डेटा के लिए इंतजार कर रहे अतिरिक्त एन्क्रिप्शन धाराओं की समाप्ति हासिल की गई है।



अपवाद फ़ोल्डर की सूची

• "$ विंडोज़। ~ बीटी"
• «इंटेल»
• "प्रोग्राम फाइलें (x86)"
• "प्रोग्राम फ़ाइलें"
• «Msocache»
• "$ recycle.bin"
• "$ विंडोज़। ~ ws"
• "तोर ब्राउज़र"
• «बूट»
• "सिस्टम वॉल्यूम जानकारी"
• «Perflogs»
• «गूगल»
• "एप्लिकेशन डेटा"
• «विंडोज»
• «ProgramData»
• «Windows.old»
• «AppData»
• «मोज़िला»
• फ़ाइल अपवाद
• «Bootfont.bin»
• «Boot.ini»
• «Ntuser.dat»
• «Desktop.ini»
• «Iconcache.db»
• «Ntldr»
• «Ntuser.dat.log»
• «Thumbs.db»
• «Bootsect.bak»
• «Ntuser.ini»
• «Autorun.inf»
• विस्तार अपवाद
• «Themepack»
• «एलडीएफ»
• «Scr»
• «आईसीएल»
• "386"
• «Cmd»
• «Ani»
• «अभिभाषक»
• «थीम»
• «Msi»
• «आरटीपी»
• «Diagcfg»
• «Msstyles»
• «बिन»
• «नि:»
• «SHS»
• «Drv»
• «Wpx»
• «Deskthemepack»
• «चमगादड़»
• «रोम»
• «एमएससी»
• «Lnk»
• «टैक्सी»
• «Spl»
• «PS1»
• «MSU»
• «Ics»
• «कुंजी»
• «एमएसपी»
• «कॉम»
• «Sys»
• «Diagpkg»
• «NLS»
• «Diagcab»
• «इको»
• «लॉक»
• «OCX»
• «एमपीए»
• «Cur»
• «कारपोरल»
• «मॉड»
• «HTA»
• «Exe»
• «ICNS»
• «PRF»
• «Dll»
• «Nomedia»
• «IDX»

एन्क्रिप्शन स्ट्रीम फ़ाइल की सामग्री को पढ़ने, एन्क्रिप्ट करने, एक ही फ़ाइल पर वापस लिखने, मेटा-डेटा को जोड़ने, एन्क्रिप्टेड सत्र निजी कुंजी सहित, प्रत्येक फ़ाइल के लिए ECDH के सार्वजनिक भाग और फ़ाइल को एन्क्रिप्ट करने के लिए उपयोग किए गए Salsa20 आरंभीकरण वेक्टर के साथ मानता है।

उसके बाद, धारा फ़ाइल का नाम बदल देती है, एक बेतरतीब ढंग से उत्पन्न नाम को जोड़कर। EncryptAndWrite फ़ंक्शन का उपयोग करके फ़ाइलों को Salsa20 एल्गोरिथ्म के साथ एन्क्रिप्ट किया गया है।

निम्नलिखित EncryptingThreadRoutine फ़ंक्शन को कॉल करने का एक उदाहरण है।


एन्क्रिप्शन के बाद फ़ाइल संरचना


एन्क्रिप्टेड फ़ाइल संरचना

नेटवर्क गतिविधि

एन्क्रिप्शन प्रक्रिया पूरी होने के बाद, रैंसमवेयर प्रबंधन सर्वर को भेजने के लिए डेटा तैयार करता है। डेटा में JSON कॉन्फ़िगरेशन, सिस्टम जानकारी और एन्क्रिप्शन कुंजी से विभिन्न फ़ील्ड शामिल हैं। इससे पहले कि वे एईएस द्वारा एन्क्रिप्ट किए गए और हमलावर के सर्वर पर भेजे जाते हैं, तैयार किए गए डेटा को भी कुंजी [[HKLM | HKCU] \ SOFTWARE \ recfg \ stat ”के तहत रजिस्ट्री को लिखा जाता है।



नेटवर्क डेटा



डोमेन नाम में शामिल हैं: सोची-ओके 23 [[।] आरयू + पता 1 का हिस्सा

• «WP-सामग्री»
• «स्टेटिक»
• «सामग्री»
• «शामिल»
• «अपलोड»
• «समाचार»
• «डाटा»
• «व्यवस्थापक»

और पता 2 का हिस्सा

• «छवियाँ»
• «चित्र»
• «छवि»
• «अस्थायी»
• «Tmp»
• «ग्राफिक»
• «आस्तियों»
• «चित्र»
• «खेल»

URL जनरेशन

फिरौती की मांग

सोदिनोकोबी के पास बायबैक अनुरोध बनाने के लिए एक टेम्पलेट है, जो उपयोगकर्ता डेटा के लिए जगह छोड़ देता है। वे स्वचालित रूप से नाम, उपयोगकर्ता आईडी (uid - ऊपर वर्णन) और कुंजी को प्रतिस्थापित करते हैं। फिरौती अनुरोध को प्रत्येक निर्देशिका में रखा गया है, अपवादों की गिनती नहीं।

डिक्रिप्शन

इस रैंसमवेयर के लिए डेटा को डिक्रिप्ट करने का कोई मुफ्त तरीका नहीं है, और डेटा को पुनर्प्राप्त करने का एकमात्र तरीका हमलावर द्वारा प्रदान की गई डिक्रिप्शन सेवा का उपयोग करना है। फिरौती अनुरोध में दिए गए निर्देशों का पालन करते हुए ...

निष्कर्ष

हम अनुशंसा करते हैं कि आप उन्नत एंटी-रैंसमवेयर सुरक्षा का उपयोग करें और अपने एंटीवायरस सिस्टम को अद्यतित रखें। सभी Acronis उत्पादों में संवर्धित रैंसमवेयर सुरक्षा होती है और यह आपको ऐसे हमले से बचा सकता है, जो डेटा हानि के जोखिम को कम करता है।

साइबर प्रोटेक्शन Acronis True Image 2019 के व्यक्तिगत समाधान के साथ-साथ Acronis बैकअप व्यापार प्रणालियों में निहित है, जो Acronis Active Security नामक कृत्रिम बुद्धिमत्ता पर आधारित एक एंटी-मैलवेयर मॉड्यूल के साथ हैं। इसके लिए धन्यवाद, दोनों प्रणालियां उपयोगकर्ताओं को सोडिनोकिबी से बचाने में सक्षम हैं।