In The Crab's Claws: Ransomware เวอร์ชันใหม่โจมตีทุกคนยกเว้นชาวรัสเซีย

เวลาอ่านหนังสือ: 5 นาที

การแข่งขันทางอาวุธระหว่างอาชญากรไซเบอร์และนักรบความปลอดภัยทางไซเบอร์กำลังเพิ่มขึ้นอย่างรวดเร็ว ผู้เขียนมัลแวร์จะตอบสนองต่อมัลแวร์ที่ตรวจพบและทำให้เป็นกลางในทันทีด้วยตัวอย่างใหม่ที่มีความซับซ้อนมากขึ้น เพื่อหลีกเลี่ยงผลิตภัณฑ์ป้องกันมัลแวร์ที่ใหม่ที่สุด GandCrab เป็นตัวแทนที่ชัดเจนของมัลแวร์รุ่นใหม่

แรนซัมแวร์ที่มีความซับซ้อน ฉลาดแกมโกง และเปลี่ยนแปลงตลอดเวลานี้ถูกค้นพบครั้งแรกในเดือนมกราคม 2018 มีสี่เวอร์ชันที่แยกความแตกต่างอย่างมีนัยสำคัญจากกันและกัน อาชญากรไซเบอร์ได้เพิ่มคุณสมบัติใหม่อย่างต่อเนื่องเพื่อการเข้ารหัสที่ยากขึ้นและหลีกเลี่ยงการตรวจจับ ตัวอย่างล่าสุดที่นักวิเคราะห์มัลแวร์ Comodo ค้นพบมีสิ่งใหม่: มันใช้ Tiny Encryption Algorithm (TEA) เพื่อหลีกเลี่ยงการตรวจจับ

การวิเคราะห์ GandCrab นั้นมีประโยชน์ไม่ใช่การสำรวจสิ่งใหม่โดยเฉพาะ มัลแวร์นักวิจัยบางคนเรียกมันว่า “ราชาตัวใหม่ของแรนซัมแวร์” เป็นตัวอย่างที่ชัดเจนว่ามัลแวร์สมัยใหม่ปรับตัวเข้ากับสภาพแวดล้อมการรักษาความปลอดภัยทางไซเบอร์แบบใหม่ได้อย่างไร มาดูวิวัฒนาการของ GandCrab กันดีกว่า

ประวัติศาสตร์

GandCrab เวอร์ชัน 1

GandCrab เวอร์ชันแรกที่ค้นพบเมื่อเดือนมกราคม 2018 เข้ารหัสไฟล์ของผู้ใช้ด้วยคีย์เฉพาะและรีดค่าไถ่ในสกุลเงินดิจิตอล DASH เวอร์ชันนี้เผยแพร่ผ่านชุดเครื่องมือ Exploit Kit เช่น RIG EK และ GrandSoft EK แรนซัมแวร์คัดลอกตัวเองลงใน“%appdata% Microsoft” โฟลเดอร์และเข้าสู่กระบวนการของระบบ nslookup.exe.

มันทำให้การเชื่อมต่อเริ่มต้นกับ pv4bot.whatismyipaddress.com เพื่อค้นหา IP สาธารณะของเครื่องที่ติดไวรัสแล้วเรียกใช้ nslookup ขั้นตอนการเชื่อมต่อกับเครือข่าย gandcrab.bit a.dnspod.com โดยใช้โปรแกรม ".นิดหน่อย" โดเมนระดับบนสุด

เวอร์ชันนี้แพร่กระจายอย่างรวดเร็วในไซเบอร์สเปซ แต่ชัยชนะหยุดลงเมื่อปลายเดือนกุมภาพันธ์: มีการสร้างตัวถอดรหัสลับและเผยแพร่ทางออนไลน์ ซึ่งช่วยให้ผู้ที่ตกเป็นเหยื่อสามารถถอดรหัสไฟล์ของตนได้โดยไม่ต้องจ่ายค่าไถ่ให้กับผู้กระทำความผิด

GandCrab เวอร์ชัน 2

อาชญากรไซเบอร์ไม่ได้ตอบคำถามนานนัก: ในหนึ่งสัปดาห์ GandCrab เวอร์ชัน 2 โจมตีผู้ใช้ มีอัลกอริธึมการเข้ารหัสใหม่ทำให้ตัวถอดรหัสไร้ประโยชน์ ไฟล์ที่เข้ารหัสมีนามสกุล .CRAB และโดเมนฮาร์ดโค้ดเปลี่ยนเป็น ransomware.bit และ zonealarm.bit. เวอร์ชันนี้เผยแพร่ผ่านอีเมลขยะในเดือนมีนาคม

GandCrab เวอร์ชัน 3

เวอร์ชันถัดไปเปิดตัวในเดือนเมษายนด้วยความสามารถใหม่ในการเปลี่ยนวอลเปเปอร์เดสก์ท็อปของเหยื่อเป็นบันทึกเรียกค่าไถ่ การสลับไปมาระหว่างเดสก์ท็อปและแบนเนอร์เรียกค่าไถ่อย่างต่อเนื่องมีจุดมุ่งหมายเพื่อสร้างแรงกดดันทางจิตใจต่อผู้ที่ตกเป็นเหยื่อมากขึ้น คุณลักษณะใหม่อีกประการหนึ่งคือคีย์รีจิสทรีรันอัตโนมัติของ RunOnce:

HKLMSOFTWAREMicrosoftWindowsCurrentVersionRunOncewhtsxydcvmtC:Documents and SettingsAdministratorApplication DataMicrosoftyrtbsc.exe เอกสารและการตั้งค่าผู้ดูแลระบบ

GandCrab เวอร์ชัน 4

ในที่สุด Gandcrab v4 เวอร์ชันที่สี่เวอร์ชันใหม่ก็เปิดตัวในเดือนกรกฎาคมด้วยการอัปเดตที่สำคัญมากมาย รวมถึงอัลกอริธึมการเข้ารหัสใหม่ ตามที่นักวิเคราะห์ของ Comodo ค้นพบ ตอนนี้มัลแวร์ใช้ Tiny Encryption Algorithm (TEA) เพื่อหลีกเลี่ยงการตรวจจับ ซึ่งเป็นหนึ่งในอัลกอริธึมการเข้ารหัสที่เร็วและมีประสิทธิภาพซึ่งพัฒนาโดย David Wheeler และ Roger Needham บนฐานการเข้ารหัสแบบสมมาตร

นอกจากนี้ ไฟล์ที่เข้ารหัสทั้งหมดในขณะนี้มีนามสกุล .KRAB แทนที่จะเป็น CRAB

นอกจากนี้ อาชญากรไซเบอร์ยังเปลี่ยนวิธีการเผยแพร่แรนซัมแวร์อีกด้วย ตอนนี้มันแพร่กระจายผ่านไซต์แคร็กซอฟต์แวร์ปลอม เมื่อผู้ใช้ดาวน์โหลดและเรียกใช้การถอดรหัส "การบรรจุ" ดังกล่าว ransomware จะลดลงบนคอมพิวเตอร์

นี่คือตัวอย่างการถอดรหัสซอฟต์แวร์ปลอม Crack_Merging_Image_to_PDF.exeในความเป็นจริงคือ GandCrab v4

ดูรายละเอียดว่าจะเกิดอะไรขึ้นหากผู้ใช้เรียกใช้ไฟล์นี้

ภายใต้ฝากระโปรง

ดังกล่าวข้างต้น GandCrab แรนซัมแวร์ ใช้อัลกอริธึมการเข้ารหัส TEA ที่แข็งแกร่งและรวดเร็วเพื่อหลีกเลี่ยงการตรวจจับ ฟังก์ชันรูทีนถอดรหัสรับไฟล์ธรรมดาของ GandCrab

หลังจากการถอดรหัสเสร็จสิ้น ไฟล์ GandCrab v4 ดั้งเดิมจะดรอปและรัน เริ่มต้นการจู่โจมเพื่อสังหาร

ประการแรก แรนซัมแวร์จะตรวจสอบรายการกระบวนการต่อไปนี้ด้วย CreateToolhelp32Snapshot API และยุติกระบวนการใดๆ ที่ทำงานอยู่:

จากนั้นแรนซัมแวร์จะตรวจสอบรูปแบบแป้นพิมพ์ หากปรากฏว่าเป็นภาษารัสเซีย GandCrab จะยุติการดำเนินการทันที

กำลังสร้างกระบวนการ URL

อย่างมีนัยสำคัญ GandCrab ใช้อัลกอริธึมสุ่มเฉพาะเพื่อสร้าง URL สำหรับแต่ละโฮสต์ อัลกอริทึมนี้ขึ้นอยู่กับรูปแบบต่อไปนี้:

http://{host}/{value1}/{value2}/{filename}.{extension}

มัลแวร์จะสร้างองค์ประกอบทั้งหมดของรูปแบบอย่างสม่ำเสมอ ส่งผลให้มี URL ที่ไม่ซ้ำกัน

คุณสามารถดู URL ที่สร้างโดยมัลแวร์ได้ในคอลัมน์ด้านขวา

การรวบรวมข้อมูล

GandCrab รวบรวมข้อมูลต่อไปนี้จากเครื่องที่ติดไวรัส:

จากนั้นจะตรวจสอบ โปรแกรมป้องกันไวรัส วิ่ง ...

… และรวบรวมข้อมูลเกี่ยวกับระบบ หลังจากนั้นจะเข้ารหัสข้อมูลที่รวบรวมทั้งหมดด้วย XOR และส่งไปยังเซิร์ฟเวอร์ Command-and-Control ที่สำคัญมันใช้สำหรับเข้ารหัสสตริงคีย์ "jopochlen" ที่เป็นภาษาลามกอนาจารในรัสเซีย นั่นเป็นสัญญาณที่ชัดเจนอีกประการหนึ่งของการกำเนิดมัลแวร์ของรัสเซีย

การสร้างคีย์

แรนซัมแวร์สร้างคีย์ส่วนตัวและสาธารณะโดยใช้ Microsoft Cryptographic Provider และ API ต่อไปนี้:

ก่อนเริ่มกระบวนการเข้ารหัส มัลแวร์จะตรวจสอบไฟล์บางไฟล์...

… และโฟลเดอร์ที่จะข้ามไประหว่างการเข้ารหัส:

ไฟล์และโฟลเดอร์เหล่านี้จำเป็นสำหรับแรนซัมแวร์เพื่อให้ทำงานได้อย่างถูกต้อง หลังจากนั้น GandCrab ก็เริ่มเข้ารหัสไฟล์ของเหยื่อ

ค่าไถ่

ค่าไถ่

เมื่อการเข้ารหัสสิ้นสุดลง GandCrab จะเปิดไฟล์ KRAB-DECRYPT.txt ซึ่งเป็นไฟล์เรียกค่าไถ่:

หากเหยื่อทำตามคำแนะนำของผู้กระทำความผิดและไปที่ไซต์ TOR ของเธอ เธอจะพบป้ายค่าไถ่พร้อมเคาน์เตอร์:

หน้าการชำระเงินเนื้อหารายละเอียดคำแนะนำเกี่ยวกับวิธีการจ่ายเงินค่าไถ่

ทีมวิจัยความปลอดภัยทางไซเบอร์ของ Comodo ได้ติดตาม IP การสื่อสารของ GandCrab ด้านล่างนี้คือสิบอันดับแรกของประเทศจากรายการ IP นี้

GandCrab โจมตีผู้ใช้ทั่วโลก นี่คือรายชื่อประเทศ XNUMX อันดับแรกที่ได้รับผลกระทบจากมัลแวร์

“การค้นพบของนักวิเคราะห์ของเราแสดงให้เห็นอย่างชัดเจนว่ามัลแวร์เปลี่ยนแปลงอย่างรวดเร็วและมีวิวัฒนาการอย่างรวดเร็วในการปรับตัวให้เข้ากับมาตรการตอบโต้ของผู้จำหน่ายความปลอดภัยทางไซเบอร์” Fatih Orhan หัวหน้าห้องปฏิบัติการวิจัยภัยคุกคาม Comodo กล่าว “เห็นได้ชัดว่าเราอยู่ในช่วงเวลาที่กระบวนการทั้งหมดในด้านความปลอดภัยทางไซเบอร์กำลังเร่งปฏิกิริยาอย่างเข้มข้น มัลแวร์เติบโตอย่างรวดเร็วไม่เพียงแค่ปริมาณเท่านั้น แต่ยังรวมถึงความสามารถในการเลียนแบบในทันทีด้วย ใน Comodo Cybersecurity ไตรมาสแรก 2018 รายงานภัยคุกคามเราคาดการณ์ว่าการลดขนาดแรนซัมแวร์เป็นเพียงการนำกองกำลังกลับมาใช้ใหม่ และเราจะต้องเผชิญกับตัวอย่างที่อัปเดตและซับซ้อนมากขึ้นในอนาคตอันใกล้นี้ การปรากฏตัวของ GandCrab ยืนยันและแสดงให้เห็นถึงแนวโน้มนี้อย่างชัดเจน ดังนั้นตลาดการรักษาความปลอดภัยทางไซเบอร์ควรพร้อมที่จะเผชิญกับการโจมตีที่กำลังจะเกิดขึ้นซึ่งเต็มไปด้วยแรนซัมแวร์ประเภทใหม่”

อยู่อย่างปลอดภัยด้วย Comodo!

แหล่งข้อมูลที่เกี่ยวข้อง:

เริ่มทดลองใช้ฟรี รับคะแนนความปลอดภัยทันทีของคุณฟรี

• เนื้อหาที่ขับเคลื่อนด้วย SEO และการเผยแพร่ประชาสัมพันธ์ รับการขยายวันนี้
• เพลโตบล็อคเชน Web3 Metaverse ข่าวกรอง ขยายความรู้. เข้าถึงได้ที่นี่.
• ที่มา: https://blog.comodo.com/comodo-news/gandcrab-the-new-version-of-ransomware/