🌅 🚃 📽️ रयूक रैंसमवेयर कैसे उद्यमों पर हमला करता है 📌 🤳🏼 👩🏻‍🎓

रयूक पिछले कुछ वर्षों में सबसे प्रसिद्ध रैंसमवेयर विकल्पों में से एक है। चूंकि वे पहली बार 2018 की गर्मियों में दिखाई दिए थे, उन्होंने पीड़ितों की एक प्रभावशाली सूची संकलित की है , विशेष रूप से व्यापारिक वातावरण में, जो उनके हमलों का मुख्य लक्ष्य है।

1. सामान्य जानकारी

इस दस्तावेज़ में रयूक रैंसमवेयर विकल्प का विश्लेषण है, साथ ही सिस्टम को मैलवेयर डाउनलोड करने के लिए जिम्मेदार बूटलोडर है।

रयूक रैंसमवेयर पहली बार 2018 की गर्मियों में दिखाई दिया। रयूक और अन्य रैंसमवेयर के बीच एक अंतर यह है कि इसका उद्देश्य कॉर्पोरेट वातावरण पर हमला करना है।

2019 के मध्य में, साइबर क्राइम समूहों ने इस क्रिप्टो की मदद से बड़ी संख्या में स्पेनिश कंपनियों पर हमला किया।

अंजीर।

चित्र
1: रयूक रैंसमवेयर हमले के बारे में एल कॉन्फिडेंशियल का अंश [1] 2: रयुक रैंसमवेयर के हमले के बारे में एल पैस के उद्धरण [2]
इस साल, रयूक ने विभिन्न देशों में बड़ी संख्या में कंपनियों पर हमला किया। जैसा कि आप नीचे दिए गए आंकड़ों में देख सकते हैं कि जर्मनी, चीन, अल्जीरिया और भारत को सबसे ज्यादा नुकसान उठाना पड़ा।

साइबर हमलों की संख्या की तुलना में, हम देख सकते हैं कि लाखों उपयोगकर्ता रयूक से प्रभावित थे और डेटा की भारी मात्रा में समझौता किया गया था, जिसके परिणामस्वरूप गंभीर आर्थिक क्षति हुई थी।

अंजीर। 3: रयूक की वैश्विक गतिविधि का चित्रण।

अंजीर। 4: 16 देश सबसे ज्यादा रयूक फिगर से प्रभावित हैं

। 5: रयूक रैनसमवेयर (लाखों में) द्वारा हमला किए गए उपयोगकर्ताओं की संख्या

इस तरह के खतरों के संचालन के सामान्य सिद्धांत के अनुसार, एन्क्रिप्शन के बाद यह रैनसमवेयर पीड़ित को फिरौती की सूचना दिखाता है जो एन्क्रिप्टेड फ़ाइलों तक पहुंच बहाल करने के लिए निर्दिष्ट पते पर बिटकॉइन में भुगतान किया जाना चाहिए।

यह मैलवेयर पहली बार दिखाई देने के बाद बदल गया है।
जनवरी 2020 में हमले शुरू करने के प्रयास के दौरान इस दस्तावेज़ में इस खतरे का एक संस्करण का विश्लेषण किया गया था।

इसकी जटिलता के कारण, इस मैलवेयर को अक्सर संगठित साइबर अपराधियों के लिए जिम्मेदार ठहराया जाता है, जिन्हें एपीटी समूहों के रूप में भी जाना जाता है।

रयूक कोड के हिस्से में एक अन्य प्रसिद्ध हर्मीस क्रिप्टोग्राफर के कोड और संरचना के लिए एक ध्यान देने योग्य समानता है, जिसके साथ उनके पास समान कार्यों की संख्या है। यही कारण है कि रयूक शुरू में उत्तर कोरियाई समूह लाजर के साथ जुड़ा था, जिस समय उस पर हेमीज़ रेनसमवेयर के पीछे होने का संदेह था।

इसके बाद, क्राउडस्ट्राइक के फाल्कन एक्स ने उल्लेख किया कि रयुक वास्तव में वाइज़र स्पाइडर [4] द्वारा बनाया गया था।

इस धारणा का समर्थन करने के लिए कुछ सबूत हैं। सबसे पहले, इस रैंसमवेयर का शोषण शोषण वेबसाइट पर किया गया, जो एक प्रसिद्ध रूसी मैलवेयर बाज़ार है और पहले कुछ रूसी एपीटी समूहों के साथ जुड़ा हुआ था।
यह तथ्य इस सिद्धांत को बाहर करता है कि रयूक को लाजर एपीटी समूह द्वारा विकसित किया जा सकता है, जैसा कि यह समूह के कार्य करने के तरीके से मेल नहीं खाता है।

इसके अलावा, रयूक को एक एन्क्रिप्टर के रूप में लिया गया था जो रूसी, यूक्रेनी और बेलारूसी प्रणालियों पर काम नहीं करेगा। यह व्यवहार Ryuk के कुछ संस्करणों में पाए जाने वाले फ़ंक्शन द्वारा निर्धारित किया जाता है, जहां यह उस सिस्टम की भाषा की जांच करता है जिसमें यह एनक्रिप्ट चल रहा है और यदि सिस्टम में रूसी, यूक्रेनी या बेलारूसी है तो इसका संचालन बंद कर देता है। अंत में, जब WIZARD SPIDER समूह द्वारा हैक की गई मशीन के एक विशेषज्ञ विश्लेषण का आयोजन किया गया था, तो कई "कलाकृतियों" की खोज की गई थी, जिन्हें कथित रूप से हेमीज़ रैंसमवेयर के एक प्रकार के रूप में रयूक के विकास में उपयोग किया गया था।

दूसरी ओर, विशेषज्ञ गैब्रिएला निकोलो और लुसियानो मार्टिंस ने सुझाव दिया कि क्रिप्टोग्राफर को क्रिप्टोकरंसी एपीटी समूह [5] द्वारा विकसित किया गया होगा।
यह इस तथ्य से निम्नानुसार है कि रयूक की उपस्थिति से कुछ महीने पहले, इस समूह ने उसी साइट के मंच पर जानकारी पोस्ट की थी कि उन्होंने हेमीज़ रैंसमवेयर का एक नया संस्करण विकसित किया था।

कई मंच उपयोगकर्ताओं ने सोचा है कि क्या CryptoTech ने वास्तव में Ryuk बनाया है। उसके बाद, इस समूह ने अपना बचाव किया और कहा कि इसके सबूत हैं कि उन्होंने इस एनक्रिप्ट का 100% विकास किया है।

2. लक्षण

हम बूटलोडर से शुरू करते हैं, जिसका कार्य उस सिस्टम की पहचान करना है जिसमें यह स्थित है, ताकि आप रयूक एनक्रिप्ट का "सही" संस्करण चला सकें।
बूटलोडर हैश इस प्रकार है:

MD5 A73130B0E379A989CBA3D695A157A495
SHA256 EF231EE1A2481B7E627921468E79BB4369CCFAEB19A575748DD2B664ABC4F469

इस बूटलोडर का सुविधाओं की है कि उसमें कोई डाटा नहीं है - इस मैलवेयर के रचनाकारों ने इसमें कोई जानकारी शामिल नहीं की थी।

कभी-कभी वे गलत डेटा शामिल करते हैं ताकि उपयोगकर्ता यह सोच सके कि वह कथित रूप से एक वैध एप्लिकेशन लॉन्च कर रहा है। हालांकि, जैसा कि हम बाद में देखेंगे, इस घटना में कि संक्रमण में उपयोगकर्ता के साथ बातचीत शामिल नहीं है (जैसा कि इस एनक्रिप्टर के साथ होता है), तो हमलावर मेटा-डेटा का उपयोग करना आवश्यक नहीं मानते हैं।

अंजीर। 6:

नमूना मेटा डेटा नमूना 32-बिट प्रारूप में संकलित किया गया था ताकि इसे 32-बिट और 64-बिट सिस्टम पर चलाया जा सके।

3. पेनेट्रेशन वेक्टर

रयूक डाउनलोड और लॉन्च करने वाला नमूना एक रिमोट कनेक्शन के माध्यम से हमारे सिस्टम में प्रवेश किया, और प्रारंभिक मापदंडों को आरडीपी हमले के लिए धन्यवाद प्राप्त किया गया।

अंजीर। 7: हमला रजिस्ट्री एक

हमलावर दूर से एक प्रणाली में प्रवेश करने में कामयाब रहा। उसके बाद, उन्होंने हमारे नमूने के साथ एक निष्पादन योग्य फ़ाइल बनाई।
लॉन्च से पहले इस निष्पादन योग्य फ़ाइल को एक एंटीवायरस समाधान द्वारा अवरुद्ध किया गया था।

अंजीर। 8: नमूना

अंजीर को अवरुद्ध करना । 9: नमूना लॉक

जब एक दुर्भावनापूर्ण फ़ाइल को अवरुद्ध किया गया था, तो हमलावर ने निष्पादन योग्य फ़ाइल के एन्क्रिप्टेड संस्करण को डाउनलोड करने का प्रयास किया, जिसे अवरुद्ध भी किया गया था।

अंजीर। 10: नमूने का एक सेट जिसे एक हमलावर ने चलाने की कोशिश की

आखिरकार, उसने एक एन्क्रिप्टेड कंसोल के माध्यम से एक और दुर्भावनापूर्ण फ़ाइल डाउनलोड करने की कोशिश की
एंटी वायरस सुरक्षा को बायपास करने के लिए पावरशेल। लेकिन वह भी अवरुद्ध था।

अंजीर। 11: अवरुद्ध दुर्भावनापूर्ण सामग्री के साथ PowerShell

अंजीर। 12: अवरुद्ध दुर्भावनापूर्ण सामग्री के साथ PowerShell

4. बूटलोडर

जब इसे निष्पादित किया जाता है, तो यह ReadMe फ़ाइल को % temp% फ़ोल्डर में लिखता है , जो Ryuk की विशिष्ट है। यह फ़ाइल - एक फिरौती की मांग, जिसमें ई-मेल एड्रेस प्रोटोनमेल डोमेन है, जो मैलवेयर के इस परिवार में काफी आम है: msifelabem1981@protonmail.com

अंजीर। 13: छुटकारे की आवश्यकता

बूटलोडर के निष्पादन के दौरान, आप देख सकते हैं कि यह यादृच्छिक नाम के साथ कई निष्पादन योग्य फ़ाइलों को लॉन्च करता है। वे एक छिपे हुए सार्वजनिक फ़ोल्डर में संग्रहीत हैं , लेकिन यदि ऑपरेटिंग सिस्टम में "छुपी हुई फ़ाइलें और फ़ोल्डर्स दिखाएं" विकल्प सक्रिय नहीं है , तो वे छिपे रहेंगे। इसके अलावा, ये फाइलें मूल फ़ाइल के विपरीत 64-बिट हैं, जो कि 32-बिट है।

अंजीर। 14: नमूने द्वारा लॉन्च की गई निष्पादन योग्य फाइलें

जैसा कि आप उपरोक्त आंकड़े में देख सकते हैं, रयूक ने icacls.exe लॉन्च किया, जिसका उपयोग सभी एसीएल (एक्सेस कंट्रोल लिस्ट) को संशोधित करने के लिए किया जाएगा, इस प्रकार पहुंच और झंडे की गारंटी।

यह डिवाइस (/ T) पर सभी उपयोगकर्ताओं के लिए त्रुटियों (/ C) की परवाह किए बिना और कोई संदेश (/ Q) दिखाए बिना पूर्ण पहुँच प्राप्त करता है।

अंजीर। चित्र 15: नमूना द्वारा लॉन्च किए गए icacls.exe के निष्पादन विकल्प।

यह ध्यान रखना महत्वपूर्ण है कि रयूक जाँचता है कि विंडोज का कौन सा संस्करण चल रहा है। ऐसा करने के लिए, यह GetVersionExW
का उपयोग करते हुए संस्करण की जाँच करता है , जिसमें यह lpVersionInformation ध्वज का मान जाँचता हैदिखा रहा है कि क्या विंडोज का वर्तमान संस्करण विंडोज एक्सपी की तुलना में बाद में है ।

इस पर निर्भर करते हुए कि आप Windows XP की तुलना में बाद का संस्करण चला रहे हैं, बूटलोडर स्थानीय उपयोगकर्ता फ़ोल्डर को लिखेगा - इस मामले में, % सार्वजनिक% फ़ोल्डर ।

अंजीर। 17: ऑपरेटिंग सिस्टम संस्करण की जाँच करना

रिकॉर्ड की गई फ़ाइल Ryuk है। फिर यह इसे लॉन्च करता है, एक पैरामीटर के रूप में अपना स्वयं का पता।

अंजीर। 18: शेल एक्सक्यूट के माध्यम से रयूक चलाना

पहली बात है रयूक इनपुट मापदंडों को प्राप्त करता है। इस बार दो इनपुट पैरामीटर (निष्पादन योग्य फ़ाइल स्वयं और ड्रॉपर पता) हैं, जिनका उपयोग अपने स्वयं के निशान हटाने के लिए किया जाता है।

अंजीर। 19: एक प्रक्रिया बनाना

आप यह भी देख सकते हैं कि जैसे ही उसने अपनी निष्पादन योग्य फ़ाइलों को लॉन्च किया, वह खुद को हटा देता है, इस प्रकार उस फ़ोल्डर में उसकी उपस्थिति का कोई निशान नहीं छोड़ता है जहां उसे निष्पादित किया गया था।

अंजीर। 20: फ़ाइल विलोपन

5. आरयूयूके

5.1 उपस्थिति
रयूक, अन्य मैलवेयर की तरह, सिस्टम पर यथासंभव लंबे समय तक रहने की कोशिश करता है। जैसा कि ऊपर दिखाया गया है, इस लक्ष्य को प्राप्त करने का एक तरीका गुप्त रूप से निष्पादन योग्य फ़ाइलों को बनाना और चलाना है। इसके लिए, सबसे आम प्रथा CurrentVersion \ Run रजिस्ट्री कुंजी को संशोधित करना है ।
इस स्थिति में, आप देख सकते हैं कि इस उद्देश्य के लिए, पहली निष्पादन योग्य फ़ाइल VWjRF.exe
(फ़ाइल नाम बेतरतीब ढंग से उत्पन्न होती है) cmd.exe लॉन्च करती है ।

अंजीर। 21: VWjRF.exe फ़ाइल को निष्पादित करने के

बाद एक RUN कमांड को " svchos " नाम के साथ दर्ज किया जाता है"इस प्रकार, यदि आप किसी भी समय रजिस्ट्री कुंजियों की जांच करना चाहते हैं, तो आप इस बदलाव को आसानी से नोटिस नहीं कर सकते हैं, इस नाम की समानता svchost के साथ दी गई है। इस कुंजी के लिए धन्यवाद, रयूक सिस्टम में इसकी उपस्थिति सुनिश्चित करता है। यदि सिस्टम अभी तक संक्रमित नहीं हुआ है। तब जब आप सिस्टम को रिबूट करते हैं, तो निष्पादन योग्य फिर से कोशिश करेगा

। छवि 22: नमूना रजिस्ट्री कुंजी की उपस्थिति सुनिश्चित करता है

हम यह भी देख सकते हैं कि यह निष्पादन योग्य दो सेवाओं को रोकता है:
" ऑडियोएंडपॉइंटबिल्डर ", जो कि इसके नाम का अर्थ है, सिस्टम से मेल खाता है। ऑडियो,

चित्र 23: नमूना सिस्टम ऑडियो बंद कर देता है

और सेवा को बंद कर देता है, जो एक खाता प्रबंधन सेवा है। इन दोनों सेवाओं को रोकना रयूक की एक विशेषता है। इस स्थिति में, यदि सिस्टम को CRM सिस्टम से कनेक्ट किया गया है, तो एनक्रिप्ट करने वाला किसी भी चेतावनी को CRM को भेजने से रोकने की कोशिश करता है । इस प्रकार, वह अपने अगले कदमों का बचाव करता है, क्योंकि कुछ एसएएम सेवाएं रयूक निष्पादित होने के बाद अपना काम सही ढंग से शुरू नहीं कर पाएंगे।

अंजीर। 24: नमूना Samss सेवा को रोकता है।

5.2 विशेषाधिकार

सामान्य तौर पर बोलते हुए, Ryuk नेटवर्क के भीतर क्षैतिज गति से शुरू होता है या किसी अन्य दुर्भावनापूर्ण प्रोग्राम, जैसे कि Emotet या Trickbot द्वारा लॉन्च किया जाता है , जो विशेषाधिकार के मामले में एनक्रिप्ट करने वाले को अपने उन्नत अधिकारों को स्थानांतरित करता है।

अग्रिम में, कार्यान्वयन प्रक्रिया के लिए एक प्रस्तावना के रूप में, हम देखते हैं कि यह ImpersonateSelf प्रक्रिया को चलाता है , जिसका अर्थ है कि एक्सेस टोकन की सुरक्षा सामग्री को स्ट्रीम में स्थानांतरित कर दिया जाएगा, जहां यह GetCurrentThread का उपयोग करके तुरंत प्राप्त होगा ।

अंजीर। 25: कॉलिंग इंपर्सनेटसेल्फ

फिर हम देखते हैं कि यह स्ट्रीम के साथ एक्सेस टोकन को जोड़ देगा। हम यह भी देखते हैं कि झंडे में से एक DesiredAccess है , जिसका उपयोग उस धारा को नियंत्रित करने के लिए किया जा सकता है जो धारा के पास होगी। इस स्थिति में, edx को मिलने वाला मान TOKEN_ALL_ACESS होना चाहिए , या फिर TOKEN_WRITE ।

अंजीर। 26: एक स्ट्रीम टोकन बनाना

तब यह उपयोग करेगाSeDebugPrivilege डिबग डिबगिंग अधिकारों को स्ट्रीम के संबंध में प्राप्त करने के लिए एक कॉल करेगा, जिसके परिणामस्वरूप, PROCESS_ALL_ACCESS को निर्दिष्ट करके , यह किसी भी आवश्यक प्रक्रिया तक पहुंचने में सक्षम होगा। अब, यह देखते हुए कि एनक्रिप्टर के पास पहले से ही एक तैयार स्ट्रीम है, यह केवल अंतिम चरण तक आगे बढ़ने के लिए बनी हुई है।

अंजीर। 27: कॉलिंग SeDebugPrivilege और बढ़ते अधिकारों का कार्य

एक तरफ, हमारे पास LookupPrivilegeValueW है, जो हमें उन विशेषाधिकारों के बारे में आवश्यक जानकारी प्रदान करता है जिन्हें हम उठाना चाहते हैं।

अंजीर। 28: उनके उत्थान के लिए विशेषाधिकारों के बारे में जानकारी का अनुरोध

करना दूसरी ओर, हमारे पास एडजस्टमेंटप्रिविलेज हैं , जो हमें अपनी स्ट्रीम के लिए आवश्यक अधिकार प्राप्त करने की अनुमति देता है। इस मामले में, सबसे महत्वपूर्ण न्यूस्टेट है।जिसका झंडा विशेषाधिकार प्रदान करेगा।

अंजीर। चित्र 29: टोकन

5.3 परिनियोजन के लिए अधिकार सेट करना

इस खंड में, हम यह दिखाएंगे कि नमूना इस रिपोर्ट में पहले बताई गई परिनियोजन प्रक्रिया को कैसे निष्पादित करता है।

कार्यान्वयन प्रक्रिया का मुख्य लक्ष्य, साथ ही वृद्धि, छाया प्रतियों तक पहुंच प्राप्त करना है । ऐसा करने के लिए, उसे स्थानीय उपयोगकर्ता की तुलना में अधिक अधिकारों वाले स्ट्रीम के साथ काम करना होगा। जैसे ही वह इस तरह के उच्च अधिकार प्राप्त करता है, वह प्रतियों को हटा देगा और अन्य प्रक्रियाओं में बदलाव करेगा ताकि ऑपरेटिंग सिस्टम में पहले के पुनर्स्थापना बिंदु पर वापस आना असंभव हो जाए।

जैसा कि आमतौर पर इस प्रकार के मैलवेयर के साथ होता है, यह कार्यान्वयन को पूरा करने के लिए CreateToolHelp32Snapshot का उपयोग करता है, इसलिए यह वर्तमान में चल रही प्रक्रियाओं का एक स्नैपशॉट लेता है और ओपनप्रोसेस का उपयोग करके इन प्रक्रियाओं तक पहुंचने का प्रयास करता है । जैसे ही वह प्रक्रिया में पहुंचता है, वह प्रक्रिया मापदंडों को प्राप्त करने के लिए अपनी जानकारी के साथ एक टोकन भी खोलता है।

अंजीर।

चित्र 30: कंप्यूटर से प्रक्रियाएँ प्राप्त करना हम गतिशील रूप से देख सकते हैं कि यह CreateToolhelp32Snapshot का उपयोग करके दिनचर्या 140002D9C में चल रही प्रक्रियाओं की सूची कैसे प्राप्त करता है। उन्हें प्राप्त करने के बाद, वह सूची के माध्यम से जाता है, ओपनप्रोसेस का उपयोग करके एक-एक करके प्रक्रियाओं को खोलने की कोशिश करता है जब तक कि वह ऐसा नहीं कर सकता। इस मामले में, वह जो पहली प्रक्रिया खोलने में सक्षम था, वह था “टास्कहोस्ट । ” ।

अंजीर। 31: एक प्रक्रिया प्राप्त करने के लिए एक प्रक्रिया का गतिशील निष्पादन

हम देख सकते हैं कि वह बाद में प्रक्रिया के टोकन को पढ़ता है, इसलिए यह " 20008 " अंजीर के साथ OpenProcessToken है। 32: पढ़ना टोकन जानकारी प्रक्रिया यह भी पुष्टि करता है कि प्रक्रिया है जो में एम्बेडेड हो जाएगा नहीं है csrss.exe , explorer.exe, lsaas.exe या इसे का एक सेट है कि NT अधिकार अनुमतियाँ । अंजीर। चित्र 33: बहिष्कृत प्रक्रिया। हम गतिशील रूप से यह देख सकते हैं कि 140002D9C में प्रक्रिया टोकन जानकारी का उपयोग करके यह कैसे चेक करता है कि क्या जिस खाते के अधिकारों का उपयोग प्रक्रिया निष्पादित करने के लिए किया गया है वह NT AUTHORITY खाता है ।

अंजीर। 34: NT AUTHORITY की जाँच करना

और बाद में, प्रक्रिया के बाहर, यह जाँचता है कि यह csrss..exe , explorer.exe या lsaas.exe नहीं है ।

अंजीर। 35: NT AUTHORITY की जाँच

करने के बाद, उन्होंने प्रक्रियाओं का एक स्नैपशॉट लेने के बाद, प्रक्रियाओं को खोला और सत्यापित किया कि उनमें से कोई भी बाहर नहीं है, वह उन प्रक्रियाओं को लिखने के लिए तैयार है जिन्हें स्मृति में लागू किया जाएगा।

ऐसा करने के लिए, वह पहले मेमोरी ( VirtualAllocEx ) में एक क्षेत्र रखता है, उसे लिखता है ( WriteProcessmemory ) और एक स्ट्रीम बनाता है ( CreateRemoteThread )। इन कार्यों के साथ काम करने के लिए, वह चयनित प्रक्रियाओं के PID का उपयोग करता है, जो उसने पहले CreateToolhelp32Snapshot का उपयोग करके प्राप्त किया था ।

अंजीर। 36: एंबेड कोड

यहां हम गतिशील रूप से देख सकते हैं कि यह VirtualAllocEx फ़ंक्शन को कॉल करने के लिए PID प्रक्रिया का उपयोग कैसे करता है ।

अंजीर। चित्र 37: VirtualAllocEx

5.4 एन्क्रिप्शन को शामिल करना
इस खंड में, हम एन्क्रिप्शन से संबंधित इस नमूने के भाग को देखेंगे। निम्नलिखित आकृति में, आप " LoadLibrary_EncodeString " और " Encode_Func " नामक दो रूटीन देख सकते हैं , जो एन्क्रिप्शन प्रक्रिया को करने के लिए जिम्मेदार हैं।

अंजीर। 38: एन्क्रिप्शन प्रक्रियाएं

सबसे पहले हम देख सकते हैं कि यह कैसे एक स्ट्रिंग को लोड करता है जो बाद में जरूरत की हर चीज को डी-ऑबफसेट करने के लिए उपयोग किया जाएगा: आयात, डीएलएल, कमांड, फाइलें और सीएसपी।

अंजीर। 39: अवक्षेपण श्रृंखला

नीचे दिए चित्र पहले आयात कि यह R4 रजिस्टर, में deobfuscates LoadLibrary । इसका उपयोग बाद में आवश्यक DLL को लोड करने के लिए किया जाएगा। हम रजिस्टर R12 में एक और लाइन भी देख सकते हैं, जिसका उपयोग पिछली पंक्ति के साथ एक साथ deobfuscation करने के लिए किया जाता है।

अंजीर। 40: डायनामिक डिओबसकेशन।

वह उन कमांड्स को लोड करना जारी रखता है जिन्हें वह बाद में बैकअप को अक्षम करने, पॉइंट्स को रिस्टोर करने और सुरक्षित बूट मोड्स के लिए निष्पादित करेगा।

अंजीर। 41: कमांड डाउनलोड करना

तब यह उस स्थान को लोड करता है जहां यह 3 फाइलें छोड़ देगा: Windows.bat, run.sct और start.bat ।

अंजीर। 42: फ़ाइल स्थान

इन 3 फ़ाइलों का उपयोग उन विशेषाधिकारों की जाँच के लिए किया जाता है जो प्रत्येक स्थान पर हैं। यदि आवश्यक विशेषाधिकार उपलब्ध नहीं हैं, तो रयूक ने निष्पादन रोक दिया।

यह तीन फ़ाइलों के अनुरूप लाइनों को लोड करना जारी रखता है। पहले, DECRYPT_INFORMATION.html में फ़ाइलों को पुनर्स्थापित करने के लिए आवश्यक जानकारी है। दूसरा, सार्वजनिक , जिसमें RSA सार्वजनिक कुंजी है।

अंजीर। 43: स्ट्रिंग DECRYPT INFORMATION.html

तीसरा, UNIQUE_ID_DO_NOT_REMOVE , एन्क्रिप्टेड कुंजी है जिसका उपयोग अगली दिनचर्या में एन्क्रिप्शन करने के लिए किया जाएगा।

अंजीर। 44: UNIQUE ID स्ट्रांग नहीं है

अंत में, यह आवश्यक आयात और CSP ( Microsoft एन्हांस्ड RSA) के साथ आवश्यक पुस्तकालयों को लोड करता हैऔर ( एईएस क्रिप्टोग्राफिक प्रदाता )।

अंजीर। 45: पुस्तकालयों को डाउनलोड

करने के बाद सभी काम पूरा हो जाने के बाद, वह एन्क्रिप्शन के लिए आवश्यक क्रियाओं को करने के लिए आगे बढ़ता है: सभी लॉजिकल ड्राइव्स पर पुनरावृति करता है, पिछले सबरूटीन में लोड किया गया प्रदर्शन करता है, सिस्टम में उपस्थिति को मजबूत करता है, RyukReadMe.html फ़ाइल को ड्रॉप करता है, एन्क्रिप्ट करता है, गणना करता है सभी नेटवर्क ड्राइव, खोजे गए उपकरणों और उनके एन्क्रिप्शन पर स्विच करना।
यह सब " cmd.exe " डाउनलोड करने और RSA सार्वजनिक कुंजी लिखने के साथ शुरू होता है ।

अंजीर। 46: एन्क्रिप्शन की तैयारी

यह तब GetLogicalDrives का उपयोग करके सभी तार्किक ड्राइव को पुनर्प्राप्त करता है और सभी बैकअप, पुनर्प्राप्ति बिंदु और सुरक्षित बूट मोड को अक्षम करता है।

अंजीर। 47: रिकवरी टूल्स को निष्क्रिय करना

उसके बाद, वह सिस्टम में अपनी उपस्थिति को मजबूत करता है, जैसा कि हमने ऊपर देखा था, और TEMP को पहली RyukReadMe.html फ़ाइल लिखते हैं । अंजीर। चित्र 48: बायबैक नोटिफिकेशन प्रकाशित करना। निम्नलिखित आकृति में, आप देख सकते हैं कि यह एक फाइल कैसे बनाता है, सामग्री डाउनलोड करता है और इसे लिखता है: चित्रा। चित्र 49: किसी फ़ाइल की सामग्री को डाउनलोड करना और उसकी रिकॉर्डिंग करना। सभी उपकरणों पर समान कार्य करने में सक्षम होने के लिए, यह " icacls.exe " का उपयोग करता है जैसा कि हमने ऊपर दिखाया। अंजीर। 50: icalcls.exe का उपयोग करना

और अंत में, यह "* .exe", "* .dll" फ़ाइलों, सिस्टम फ़ाइलों और एक एन्क्रिप्टेड सफेद सूची के रूप में निर्दिष्ट अन्य स्थानों के अपवाद के साथ फ़ाइलों को एन्क्रिप्ट करना शुरू करता है। इसके लिए, यह आयात का उपयोग करता है: CryptAcquireContextW (जहां AES और RSA का उपयोग इंगित किया गया है), CryptDeriveKey, CryptGenKey , CryptDestroyKey , आदि। WNetEnumResourceW का उपयोग करके पता लगाए गए नेटवर्क उपकरणों पर इसके प्रभाव का विस्तार करने और फिर उन्हें एन्क्रिप्ट करने का प्रयास भी किया जा रहा है।

अंजीर। 51: सिस्टम फ़ाइल एन्क्रिप्शन

6. आयात और संबंधित झंडे

नमूने द्वारा उपयोग किए जाने वाले सबसे अधिक प्रासंगिक आयात और झंडे को सूचीबद्ध करने वाली एक तालिका निम्नलिखित है:

7. आईओसी

संदर्भ

उपयोगकर्ता \ सार्वजनिक \ run.sct
मेनू \ Program \ Startup प्रारंभ करें। AppData \ Roaming \ Microsoft \ Windows \ Start प्रारंभ करें
मेनू \ ProgramsStartup \ start.bat

रेनुक रैंसमवेयर तकनीकी रिपोर्ट जिसे पांडलैब्स एंटीवायरस लैब विशेषज्ञों द्वारा संकलित किया गया है।

8. सन्दर्भ

1. "एवरिस वाई प्राइसा रेडियो सुफ्रेन अन ग्रेव साइबेरैक क्वे सेक्युएस्ट्रा सस सिस्तेमास।" Https: // www। elconfidencial.com/tecnologia/2019-11-04/ everis-la-ser-ciberataque-ransomware-15_2312019 /, पब्लिकडा एल 04/11/2019।

2. "Un virus de Origen ruso ataca aacaes a importantes empresas españolas।" Https: //elpais.com/ tecnologia / 2019/11/04 / realidad / 1572897654_ 251312.html, Publicada el 04/11/2019।

2. "VB2019 कागज: शिनिगामी का बदला: रयूक मालवेयर की लंबी पूंछ।" Https://securelist.com/ 2019- शहरों के अंडर-रैंसमवेयर-स्लेज / 95456 /, Publicada el 11 /

12/2019 4. "रयूक के साथ बड़ा खेल शिकार: एक और ल्यूक्रेटिकबेड रैनसमवेयर।" http: // www। crowstrike.com/blog/big-game-hunting-with-ryuk-another-lucrative-targeted-ransomware/, Publicada el 01/10/2019।

5. "VB2019 पेपर: शिनिगामी का बदला: रयूक मालवेयर की लंबी पूंछ।" Https: // www। virusbulletin.com/virusbulletin/2019/10/ vb2019- पेपर-शिनीगामिस-रिवेंज-लॉन्ग-टेल-आर

रयूक रैंसमवेयर कैसे उद्यमों पर हमला करता है