👏🏼 🕳️ 🌦️ FTCODE fileless ransomware अब खाते चुराता है 🌜 👊 😤

2013 में, सोफोस ने पावरस्ले में लिखे रैंसमवेयर वायरस से संक्रमण के मामलों की सूचना दी । यह हमला रूस के उपयोगकर्ताओं के उद्देश्य से किया गया था। फ़ाइलों को एन्क्रिप्ट करने के बाद, .FTCODE एक्सटेंशन को उनके साथ जोड़ा गया, जिसने रैंसमवेयर को नाम दिया। एक ईमेल से जुड़ी HTA फ़ाइल के अंदर स्पैमिंग के दौरान दुर्भावनापूर्ण कोड का प्रसार किया गया था। एन्क्रिप्शन के बाद, रैंसमवेयर ने रूसी में निर्देश दिया कि कैसे फिरौती करें और फाइलों को डिक्रिप्ट करें।

कुछ साल बाद, 2019 के पतन में, इस रैंसमवेयर के साथ संक्रमण के नए उल्लेख दिखाई दिए। हमलावरों ने इटली और अन्य देशों में उपयोग की जाने वाली PEC प्रमाणित ईमेल सेवा के उपयोगकर्ताओं के लिए एक फ़िशिंग अभियान किया। पीड़ितों को एक संलग्न दस्तावेज के साथ एक ईमेल मिला। दस्तावेज़ के अंदर एक मैक्रो था जो दुर्भावनापूर्ण कोड डाउनलोड करता था। एन्क्रिप्शन के अलावा, रैंसमवेयर ने एक जैस्परलॉडर बूटलोडर स्थापित किया। इस ट्रोजन का उपयोग विभिन्न मैलवेयर वितरित करने के लिए किया जा सकता है। उदाहरण के लिए, कंप्यूटर पर एक Gootkit बैंकिंग ट्रोजन के शिकार को डाउनलोड करने के ज्ञात मामले हैं।

अक्टूबर के मध्य में, एक रैंसमवेयर संस्करण दिखाई दिया, जो पीड़ित के कंप्यूटर से उपयोगकर्ता खाते और पासवर्ड चुराने के कार्यों के साथ पूरक था। उन्हें लोकप्रिय ब्राउज़र और डिफ़ॉल्ट सेटिंग्स के साथ स्थापित ईमेल क्लाइंट से निकाला जाता है।

PowerShell का उपयोग अक्सर मैलवेयर को विकसित करने के लिए किया जाता है, क्योंकि इस भाषा के व्याख्याकार को सातवें संस्करण के बाद से विंडोज ऑपरेटिंग सिस्टम में डिफ़ॉल्ट रूप से शामिल किया गया है। इसके अलावा, PowerShell दुर्भावनापूर्ण कोड को पीड़ित के कंप्यूटर पर एक फ़ाइल में सहेजे बिना निष्पादित करने की अनुमति देता है। पॉजिटिव टेक्नोलॉजीज में इन खतरों पर एक वेबिनार प्रविष्टि है ।

पेलोड डिलीवरी

सबसे पहले, nuove_tariffe_2020_8_af11773ee02ec47fd5291895f25948e7.vbs स्क्रिप्ट nuove_tariffe_2020_8_af11773ee02ec47fd5291895f25948e7.vbs , जो nuove_tariffe_2020_8_af11773ee02ec47fd5291895f25948e7.vbs दुभाषिया प्रक्रिया शुरू करता है।

चित्र 1. डाउनलोडिंग पेलोड

दुभाषिया को कमांड के साथ एक लाइन दी जाती है जो छवि को डाउनलोड करती है hxxps://static[.]nexilia[.]it/nextquotidiano/2019/01/autostrade-aumenti-tariffe-2019[.]jpg (चित्र 2) और इसे टैरिफ के रूप में सहेजें। अस्थायी फ़ाइलों निर्देशिका में jpg।

चित्र 2. उपयोगकर्ता का ध्यान भटकाने के लिए प्रयोग की जाने वाली टैरिफ.जेपीजी इमेज

तब यह छवि खोली जाती है और उसी समय इनवोक एक्सप्रेशन रैनसमवेयर का उपयोग करके इंटरनेट से डाउनलोड किया जाता है, बिना डिस्क को जलाए। संक्रमण के पिछले मामलों के विपरीत, अब बेस 64 एल्गोरिथ्म का उपयोग करके मैलवेयर के शरीर को एन्कोड किया गया है। पेलोड के वितरण के लिए, डोमेन "बैंड [।] पॉजिटिव लाइफॉलॉजी [।] कॉम" (चित्र 3), साथ ही साथ "मोबि [।] कन्फेसीयरसिन [] मोबि" का उपयोग किया जाता है।

चित्रा 3. रैंसमवेयर कोड के साथ ट्रैफ़िक का टुकड़ा

उपयोगकर्ता क्रेडेंशियल्स की चोरी

जैसा कि पहले ही उल्लेख किया गया है, रैंसमवेयर के नए संस्करण में इंटरनेट एक्सप्लोरर, मोज़िला फ़ायरफ़ॉक्स, क्रोम, आउटलुक और मोज़िला थंडरबर्ड से लोकप्रिय ब्राउज़र और ईमेल क्लाइंट से उपयोगकर्ता खाते और पासवर्ड चोरी करने के लिए एक मॉड्यूल है।

सबसे पहले, start selectArch कमांड को हमलावर सर्वर को जीवित []] सर्वाइवरएन्थ्रांथ्रवेंटेंटिंग []] के साथ भेजा जाता है, HTTP प्रोटोकॉल POST अनुरोध का उपयोग करते हुए।

चित्रा 4. पहचान की चोरी के लिए मॉड्यूल निष्पादन की शुरुआत के बारे में संकेत

इस स्तर पर उत्पन्न ट्रैफ़िक को प्रपत्र मार्गदर्शिका = temp_dddddddddddd, उसके बाद कमांड या चोरी किए गए डेटा (चित्र 5) की एक पंक्ति द्वारा विशेषता है। इस पंक्ति में प्रत्येक रैंसमवेयर नमूने के लिए एक गाइड अद्वितीय है।

चित्र 5. नेटवर्क संचार के लिए स्टाइलर द्वारा उपयोग किया जाने वाला कोड

तब पीड़ित के उपयोगकर्ता नाम और पासवर्ड को निकाला जाता है, बेस 64 एल्गोरिथ्म द्वारा एन्कोड किया गया और हमलावरों को भेजा गया।

चित्रा 6. उपयोगकर्ता खातों को भेजने के लिए कोड

निम्न ट्रैफ़िक का एक स्निपेट है जिसमें HTTP POST अनुरोध द्वारा भेजे गए डेटा को चुराया गया है।

चित्रा 7. चोरी डेटा

क्रेडेंशियल भेजे जाने के बाद, स्टिलर, HTTP प्रोटोकॉल के POST अनुरोध का उपयोग करते हुए, अपने काम के पूरा होने का संकेत देता है।

चित्रा 8. सफल डेटा चोरी का संकेत

JasperLoader बूटलोडर स्थापित करें

रैंसमवेयर का नया संस्करण अभी भी डाउनलोड करता है और जैस्परवेल्डर बूटलोडर (चित्र 9) को स्थापित करता है, जिसका उपयोग विभिन्न मैलवेयर वितरित करने के लिए किया जा सकता है।

चित्रा 9. जैस्परलॉडर कोड के साथ ट्रैफ़िक स्निपेट

डाउनलोड किए गए बूटलोडर को C: \ Users \ Public \ L पुस्तकालयों \ WindowsIndexingService.vbs फ़ाइल में सहेजा जाता है और WindowsApplicationService के रूप में अनुसूचित Windows कार्यों में जोड़ा जाता है और WindowsApplicationService.lbk का उपयोग करके स्टार्टअप को जोड़ा जाता है।

चित्रा 10. बूटलोडर को स्थापित करना

डेटा एन्क्रिप्शन

उपयोगकर्ता क्रेडेंशियल्स चुराने और बूटलोडर स्थापित करने के अलावा, FTCODE पीड़ित के कंप्यूटर पर फ़ाइलों को एन्क्रिप्ट करता है। यह चरण पर्यावरण की तैयारी के साथ शुरू होता है। रैनसमवेयर उस समय को चलाने के लिए C: \ Users \ Public \ OracleKit \ quanto00.tmp फ़ाइल का उपयोग करता है, जब वह अंतिम बार चला था। इसलिए, सिस्टम में इस फ़ाइल की उपस्थिति और इसके निर्माण समय की जाँच की जाती है। यदि फ़ाइल सिस्टम में मौजूद है और फ़ाइल बनने के बाद 30 मिनट या उससे कम समय बीत चुके हैं, तो प्रक्रिया समाप्त हो जाती है (चित्र 11)। इस तथ्य को एक टीका के रूप में इस्तेमाल किया जा सकता है।

चित्र 11. रैंसमवेयर के अंतिम प्रक्षेपण के बाद के समय की जाँच करना

फिर फ़ाइल से C: \ Users \ Public \ OracleKit \ w00log03.tmp पहचानकर्ता को पढ़ा जाता है - या यदि फ़ाइल गायब है तो एक नया बनाया जाता है।

चित्र 12. पीड़ित आईडी तैयार करना

चित्रा 13. विजय आईडी

फिर रैनसमवेयर आगे फ़ाइल एन्क्रिप्शन के लिए महत्वपूर्ण जानकारी उत्पन्न करता है।

चित्रा 14. एन्क्रिप्शन के लिए महत्वपूर्ण जानकारी उत्पन्न करना

जैसा कि आप कोड से देख सकते हैं, पीड़ित के डेटा को पुनर्प्राप्त करने के लिए आवश्यक जानकारी HTTP प्रोटोकॉल के POST अनुरोध द्वारा डोमेन भोजन के साथ नोड को भेजी जाती है [।] Kkphd [।] कॉम।

चित्र 15. एन्क्रिप्शन के लिए मुख्य सूचना भेजने का कार्य (डिक्रिप्शन)

तदनुसार, यदि आप उस ट्रैफ़िक को बाधित करने का प्रबंधन करते हैं जिसमें पीड़ित की फ़ाइलों को एन्क्रिप्ट करने के लिए नमक होता है, तो आप हमलावरों को धन हस्तांतरित किए बिना सभी फ़ाइलों को पुनर्प्राप्त कर सकते हैं।

चित्र 16। महत्वपूर्ण जानकारी को इंटरसेप्ट किया गया

एन्क्रिप्शन के लिए, Rijndael एल्गोरिथ्म CBC मोड में BXCODE INIT लाइन पर आधारित इनिशियलाइज़ेशन वेक्टर के साथ उपयोग किया जाता है और BXCODE से प्राप्त एक कुंजी आपके सिस्टम पासवर्ड और पहले उत्पन्न हुए नमक को हैक कर लेती है।

चित्र 17. एन्क्रिप्शन फ़ंक्शन

फ़ाइल एन्क्रिप्शन की शुरुआत से ठीक पहले, HTTP प्रोटोकॉल POST रिक्वेस्ट में "स्टार्ट" सिग्नल भेजा जाता है। एन्क्रिप्शन प्रक्रिया के दौरान, यदि स्रोत फ़ाइल की सामग्री का आकार 40,960 बाइट्स से अधिक है, तो फ़ाइल को इस आकार में छोटा कर दिया जाता है। रैनसमवेयर के पिछले संस्करणों की तरह, फ़ाइलों में एक एक्सटेंशन जोड़ा जाता है, लेकिन .FTCODE नहीं, लेकिन एक जो पहले बेतरतीब ढंग से उत्पन्न होता था और जिसे एक्सट्रीम पैरामीटर के मान के रूप में हमलावर सर्वर को भेजा जाता था।

चित्रा 18. एन्क्रिप्टेड फ़ाइलें

और HTTP प्रोटोकॉल के बाद POST अनुरोध एक "किया" संकेत और एन्क्रिप्टेड फ़ाइलों की संख्या के साथ भेजा जाता है।

चित्र 19. एनक्रिप्ट का मुख्य कोड

पीड़ित के कंप्यूटर पर एन्क्रिप्ट की गई फ़ाइल एक्सटेंशन की पूरी सूची:

* ".sql"	* ".mp4"	* ".7z"	* ".रार"	* ".m4a"	* ".wma"
* ".वीवी"	* ".wmv"	* ".csv"	* ".d3dbsp"	* ".zip"	* ".sie"
* ".sum"	* ".आईबैंक"	* ".t13"	* ".t12"	* ".qdf"	* ".gdb"
* ".tax"	* ".pkpass"	* ".bc6"	* ".bc7"	* ".bkp"	* ".qic"
* ".bkf"	* ".sidn"	* ".सिड"	* "। ममता"	* ".itl"	* ".itdb"
* ".xxs"	* ".hvpl"	* ".hplg"	* ".एचकेडीबी"	* ".mdbackup"	* ".syncdb"
* ".घो"	* ".कास"	* ".svg"	* ".मैप"	* ".wmo"	* ".itm"
* ".sb"	* ".फोस"	* ".Mov"	* ".vdf"	* ".ztmp"	* "। एसिस"
* ".sid"	* ".ncf"	* ".मेनू"	* ".layout"	* ".dmp"	* ".blob"
* ".सीएसएम"	* ".vcf"	* ".vtf"	* ".dazip"	* ".fpk"	* ".mlx"
* ".kf"	* ".वीडी"	* ".vpk"	* ".tor"	* ".psk"	* ".rim"
* ".w3x"	* ".fsh"	* ".ntl"	* ".arch00"	* ".lvl"	* ".snx"
* ".cfr"	* ".ff"	* ".vpp_pc"	* ".lrf"	* ".m2"	* ".mcmeta"
* ".vfs0"	* ".mpqge"	* ".kdb"	* ".db0"	* ".dba"	* ".rofl"
* ".hkx"	"* .बार"	* ".अपक"	* ".दास"	* ".वीआई"	* ".litemod"
* ".सेट"	* ".forge"	* "। एक्सएक्सएक्स"	* ".बीएसए"	* ".apk"	* ".re4"
* ".sav"	* ".lbf"	* "। एसएलएम"	* ".bik"	* ".epk"	* ".rgss3a"
* ".pak"	* ".बीग"	* "बटुआ"	* ".wotreplay"	* ".xxx"	* ".desc"
* "। पर्याप्त"	* ".m3u"	* ".flv"	* ".js"	* ".css"	* ".rb"
* ".पीएनजी"	* ".jpeg"	* ".txt"	* ".p7c"	* ".p7b"	* ".p12"
* ".pfx"	* ".pem"	* ".crt"	* ".cer"	* ".der"	* ".x3f"
* ".srw"	* ".pef"	* ".ptx"	* ".r3d"	* ".rw2"	* ".rwl"
* ".raw"	* ".raf"	""।	* ".nrw"	* ".mrwref"	* ".मेफ"
* ".erf"	* ".kdc"	* ".dcr"	* ".cr2"	* ".crw"	* ".bay"
* ".sr2"	* ".srf"	* ".arw"	* ".3fr"	* ".Dng"	* ".jpe"
* ".jpg"	* ".cdr"	* ".indd"	"* .अई"	* ".eps"	* ".pdf"
* ".pdd"	* ".psd"	* ".dbf"	* ".mdf"	* ".wb2"	* ".rtf"
* ".wpd"	* ".dxg"	* ".xf"	* ".dwg"	* ".pst"	* ".accdb"
* ".mdb"	* ".pptm"	* ".pptx"	* ".ppt"	* ".xlk"	* ".xlsb"
* ".xlsm"	* ".xlsx"	* ".xls"	* ".wps"	* ".docm"	* ".docx"
* ".doc"	* ".ओडीबी"	* ".odc"	* ".odm"	* ".ओडीपी"	* ".ods"
* ".ओडीटी"

फ़ाइलों को एन्क्रिप्ट करने के बाद, पीड़ित के कंप्यूटर पर READ_ME_NOW.htm टेक्स्ट फ़ाइल बनाई जाती है, जो बताती है कि फ़ाइलों की सामग्री को पुनर्स्थापित करने के लिए क्या करना होगा।

चित्र 20. हमलावर पर हमला करना

जैसा कि आप देख सकते हैं, प्रत्येक पीड़ित के लिए एक अद्वितीय लिंक बनाया जाता है जिसमें फ़ाइल C: \ Users \ Public \ OracleKit \ w00log03.tmp से पहचानकर्ता होता है, और यदि यह क्षतिग्रस्त या हटा दिया जाता है, तो एन्क्रिप्टेड डेटा को पुनर्प्राप्त नहीं करने का जोखिम होता है। फ़ाइलों को डिक्रिप्ट करने और फिरौती की आवश्यकता के लिए एक फॉर्म के साथ एक लिंक टोर ब्राउज़र में इस लिंक पर उपलब्ध है। प्रारंभिक बायबैक $ 500 है और समय के साथ बढ़ता है।

चित्र 21. मोचन अनुरोध

बंद

पीड़ित की फ़ाइलों को एन्क्रिप्ट करने के बाद, FTCODE उस डेटा को हटा देता है जिसका उपयोग एन्क्रिप्टेड फ़ाइलों को पुनर्प्राप्त करने के लिए किया जा सकता है।

चित्र 22. डेटा हटाना

निष्कर्ष

इस मालवेयर में VBS कोड के रूप में एक बूटलोडर और पॉवरशेल कोड के रूप में एक पेलोड होता है। संक्रमण को मास्क करने के लिए JPEG छवि का उपयोग किया जाता है। मैलवेयर के फ़ंक्शंस जाने-माने जैस्परलॉएडर बूटलोडर को स्थापित कर रहे हैं और फिरौती के लिए पीड़ितों की फ़ाइलों को एन्क्रिप्ट कर रहे हैं, साथ ही लोकप्रिय ब्राउज़रों और ईमेल क्लाइंट से सभी खातों और पासवर्डों को चोरी कर रहे हैं।
माना खतरा पीटी एनएडी नेटवर्क ट्रैफिक एनालिसिस सिस्टम द्वारा एफटीसीओडीई के रूप में पाया जाता है।

इसके अलावा, पीटी एनएडी नेटवर्क ट्रैफिक को स्टोर करता है, जो इस रैंसमवेयर के पीड़ितों की फाइलों को डिक्रिप्ट करने में मदद करेगा।

IOCs

6bac6d1650d79c19d2326719950017a8
bf4b8926c121c228aff646b258a4541e
बैंड [।] सकारात्मक जीवन शैली [।] कॉम
mobi [।] कन्फेसीओरिंस [।] mobi
बची [।] बचे हुए
खाना [।] kkphd [।] कॉम

दमित्री मकरोव, पॉजिटिव टेक्नोलॉजीज द्वारा पोस्ट किया गया

FTCODE fileless ransomware अब खाते चुराता है