WONSYS - একটি Ransomware আক্রমণের শারীরস্থান

পড়ার সময়: 4 মিনিটবেশিরভাগ লোকই এখন পর্যন্ত র্যানসমওয়্যার সম্পর্কে সচেতন, অবশ্যই যারা নিয়মিত কমোডো ব্লগ বিভাগ এবং অনুরূপ প্রকাশনাগুলি পড়েন। যারা করেন না তাদের জন্য, র‍্যানসমওয়্যার হল একটি আক্রমণ যেখানে আক্রমণকারী একটি ভিকটিম এর কম্পিউটার বা সার্ভারে থাকা সমস্ত ফাইল এনক্রিপ্ট করে, সেগুলিকে সম্পূর্ণরূপে অব্যবহারযোগ্য করে তোলে। আক্রমণকারী ফাইলগুলি ডি-ক্রিপ্ট করার জন্য সাধারণত বিটকয়েনে একটি ফি, মুক্তিপণ দাবি করে। অপরাধীর দৃষ্টিকোণ থেকে আক্রমণের সৌন্দর্য হল যে একবার এনক্রিপশন সংঘটিত হয়ে গেলে শিকারের জন্য প্রায় কোনও সমাধান হয় না। কোনও অ্যান্টিভাইরাস, প্রযুক্তিগত বিশেষজ্ঞদের কাছ থেকে কোনও সহায়তা, কোনও পুলিশ বাহিনী এবং কোনও কান্নাকাটি কখনও আপনার জন্য সেই ফাইলগুলি পুনরুদ্ধার করতে পারে না। আপনার কাছে অবশ্যই ডিক্রিপশন কী থাকতে হবে বা আপনার ফাইলগুলিকে বিদায় চুম্বন করতে হবে৷

এই বন্দুকের ক্ষমাহীন ব্যারেলটি নিচের দিকে তাকানোর সময়, অনেক উচ্চ-প্রোফাইল শিকার দেখতে পান যে তাদের ফি প্রদান করা ছাড়া আর কোন বিকল্প নেই। ব্যবসা চালিয়ে যেতে বা সমাজে তাদের পরিষেবা সরবরাহ করার জন্য তাদের সেই ফাইলগুলির প্রয়োজন এবং তারা কোনও ডাউনটাইম সামর্থ্য করতে পারে না। হাসপাতাল, সরকারী বিভাগ, দাতব্য প্রতিষ্ঠান, বিশ্ববিদ্যালয়, ম্যাজিস্ট্রেট আদালত এবং সংবাদপত্রের কার্যালয়গুলি প্রধান প্রতিষ্ঠানগুলির কয়েকটি উদাহরণ যা মুক্তিপণ প্রদান করেছে এবং প্রদান করেছে।

র‍্যানসমওয়্যার সাধারণত ছড়িয়ে পড়ে ফর্ম একটি ট্রোজান ঘোড়া প্রোগ্রামের. এইগুলি এমন প্রোগ্রাম যা আপনাকে ভাবতে প্ররোচিত করে যে আপনি যখন সেগুলি ইনস্টল করেন তখন এটি একটি সাধারণ প্রোগ্রাম কিন্তু আসলে এটি একটি দূষিত এক্সিকিউটেবল যা আপনার ড্রাইভগুলিকে এনক্রিপ্ট করে। র‍্যানসমওয়্যারের প্রতিটি অংশের টার্গেট মেশিনকে সংক্রামিত করার নিজস্ব অনন্য উপায় রয়েছে এবং প্রতিটি সনাক্তকরণ এড়াতে বিভিন্ন স্তরের অস্পষ্টতা ব্যবহার করে। এই ব্লগটি কমোডোর একজন নেতৃস্থানীয় প্রকৌশলীর কাছ থেকে এমন একটি অংশের অভ্যন্তরীণ কাজের গভীরে ডুব দেয় ransomware - ওয়ানসিস।

WONSYS Ransomware কি?

Wonsys হল ম্যালওয়্যারের একটি স্ট্রেন যা হয় ক্রিপ্টর সফ্টওয়্যার দ্বারা অস্পষ্ট হয়, অথবা UPX, ASPROTECT বা VMPROTECT-এর মতো ফাইলে প্যাক করা হয়। প্রকৃত এক্সিকিউটেবল, wonsys.exe, অন্যটির ভিতরে গভীরভাবে সমাহিত, দৃশ্যত নির্দোষ, প্রোগ্রাম, তাই এটি সেই ট্রোজানগুলির মধ্যে একটি যা আমরা আগে উল্লেখ করেছি। এটি একটি সাধারণ পদ্ধতি যা একজন অপরাধী দ্বারা এটি সনাক্তকরণ এড়াতে সাহায্য করে অ্যান্টিভাইরাস পণ্য।

ম্যালওয়্যার টার্গেট কম্পিউটারে চলে যায় এবং SHELL32 API, ShellExecuteW ব্যবহার করে চলে:

একবার র্যানসমওয়্যারটি ব্যবহারকারী দ্বারা চালিত হলে, এটি রেজিস্ট্রিতে একটি "RunOnce" কী তৈরি করে:

এটি লক্ষ্য মেশিনে সমস্ত ড্রাইভ গণনা করে যাতে এটি তাদের সমস্ত এনক্রিপ্ট করতে পারে:

Wonsys তারপর প্রক্রিয়াগুলির একটি 'হত্যা-তালিকা' তৈরি করে যা এটি বন্ধ-ডাউন করতে হবে। এগুলি এমন প্রোগ্রাম যা চলমান রেখে দিলে, পুরো সিস্টেমকে সংক্রামিত করা থেকে ওয়ানসিসকে সম্ভাব্যভাবে প্রতিরোধ করতে পারে। বিশেষত, এগুলি হল Word, PowerPoint, Notepad, Thunderbird এর মতো প্রোগ্রাম যা ফাইলগুলিকে 'লক' করতে পারে এবং তাই তাদের এনক্রিপশন প্রতিরোধ করে৷ এই প্রোগ্রামগুলি বন্ধ করার পরে, Wonsys ফাইলগুলির ছায়া কপি মুছে দেয় যাতে ব্যবহারকারী সেগুলি পুনরুদ্ধার করতে না পারে:

কমান্ড প্রম্পট উইন্ডোটি প্রশাসকের বিশেষাধিকার সহ system32 ফোল্ডারে COMSPEC এর মাধ্যমে খোলা হয়:

আক্রমণকারী API ফাংশন ব্যবহার করে তারিখ, সময় বিন্যাস, সিস্টেমের নাম এবং লোকেল তথ্য সংগ্রহ করে এবং iplogger.org সাইটে পিং করে, এইভাবে মেশিনে বিস্তারিত তথ্য সংগ্রহ করে।

Wonsys এখন প্রয়োজনীয় সব তথ্য আছে. নীচের স্ক্রিনশটটি দেখায় যে 'dccdc' হল এক্সটেনশন যা এটি এনক্রিপশনের পরে সমস্ত ফাইলের নাম যুক্ত করবে, 'PC-প্রশাসক' হল কম্পিউটারের নাম, এবং ড্রাইভ 'C:' হল ড্রাইভ যা এটি সংক্রামিত করবে:

অবশেষে, WONSYS ransomware মেশিনে সমস্ত ফাইল এনক্রিপ্ট করে এর পেলোড আনলিশ করে। সমস্ত ফাইল '.dccdc' এক্সটেনশনের সাথে একটি একক, এনক্রিপ্ট করা ফাইল ছাড়া বাকি থাকে যা ব্যবহারকারী খুলতে পারে - 'CLICK_HERE-dccdc.txt':

এই .txt ফাইলটি হল আক্রমণকারী কীভাবে শিকারকে পরবর্তীতে কী করতে হবে তা বলে৷ প্রতিটি সংক্রামিত মেশিনের নিজস্ব আইডি এবং ব্যক্তিগত কী দেওয়া হয়। নোটটি ব্যবহারকারীকে একটি ওয়েব পৃষ্ঠা দেখার জন্য বলে যেখানে তাদের একটি চ্যাট পরিষেবাতে লগইন করার জন্য এই তথ্যের প্রয়োজন হবে:

নোটটি এমন ধারণা তৈরি করার চেষ্টা করে যে চ্যাটটি একটি সদয় অপারেটরের সাথে একটি বন্ধুত্বপূর্ণ পরিষেবা যা তাদের ফাইলগুলি পুনরুদ্ধার করতে সহায়তা করবে৷ বাস্তবে, চ্যাট হল যেখানে হ্যাকার বিটকয়েনে তাদের অর্থপ্রদানের দাবি করে অন্যথায় শিকারের ফাইলগুলি চিরতরে হারিয়ে যায়।

Ransomware আক্রমণ

ওয়েবসাইট ম্যালওয়্যার স্ক্যানার

Ransomware সুরক্ষা সফ্টওয়্যার

পোস্টটি WONSYS - একটি Ransomware আক্রমণের শারীরস্থান প্রথম দেখা কমোডো সংবাদ এবং ইন্টারনেট নিরাপত্তা তথ্য.

• Coinsmart. ইউরোপের সেরা বিটকয়েন এবং ক্রিপ্টো এক্সচেঞ্জ।
• প্লেটোব্লকচেন। Web3 মেটাভার্স ইন্টেলিজেন্স। জ্ঞান প্রসারিত. বিনামূল্যে এক্সেস.
• ক্রিপ্টোহক। Altcoin রাডার। বিনামূল্যে ট্রায়াল.
• সূত্র: https://blog.comodo.com/comodo-news/wonsys-anatomy-of-a-ransomware-attack/