Aufgrund der zunehmenden Ransomware-Aktivität haben wir uns entschlossen, eine eingehende Analyse der Ghost Ransomware durchzuführen. Interessant an dieser Malware ist, dass sie mehrere Komponenten zur Verschlüsselung von Benutzerdateien verwendet.
Technische Analyse :
Die Haupt-Malware (Ghost.exe) wird mit dem DotNet Framework kompiliert. Der Infektionsweg dieser Ransomware ist noch unbekannt, doch die Datei kann über Spam-E-Mails, Malvertising oder im Paket mit anderen Dateien auf den Computer des Opfers gelangen. Sie verwendet ein Tabellensymbol, um dem Benutzer vorzutäuschen, er habe eine Rechnung/ein Angebot erhalten.
Ghost.exe fragt zunächst „www.12312312eewfef231.com“ ab. Diese Domain ist nicht registriert, kann aber als Kill Switch fungieren, da sie ihre schädliche Aktivität im Catch für die Ausnahme ausführt, wie in Abb. 1 dargestellt.
Ghost.exe legt die ausführbare Datei GhostService.exe am Speicherort „%appdata%\Ghost“ auf dem Computer des Opfers ab. Außerdem erstellt es eine Bat-Datei (Ghost.bat) im Ghost-Ordner und führt sie aus. Ghost.bat erstellt einen Dienst mit dem Anzeigenamen „Ghost“, dem Binärpfad „%appdata%\Ghost\GhostService.exe“ und dem Startmodus „Auto“, wie in Abb. 2 dargestellt. Dank des Auto-Modus wird der Schaddienst bei jedem Systemstart automatisch gestartet.
Sobald der Dienst erfolgreich registriert ist, startet Ghost.exe den Dienst „Ghost“, wie in Abb. 4 gezeigt.
GhostService.exe erstellt eine TXT-Datei mit dem Namen „Do_Not_Delete_codeId.txt“ im Stammverzeichnis des Laufwerks „C“ mit der Code-ID als Inhalt. Diese Code-ID wird zufällig generiert, wie in Abb. 5 dargestellt.
Jetzt ruft es die Funktion „startProcess“ auf, um Komponenten im Stammverzeichnis des Laufwerks „C“ abzulegen.
Wie in Abb. 6 gezeigt, fällt GhostService.exe unter die folgenden Komponenten:
- GhostForm.exe – Zeigt Lösegeldforderung an und verschlüsselt Dateien
- GhostFile.dll – Exportiert Funktionen zum Erstellen einer Dateiliste
- GhostHammer.dll – Exportiert die AES_Encrypt-Funktion
Abb. 6: Funktion zum Ablegen von Komponenten und Starten von GhostForm.exe
Nach dem Löschen der Komponenten wird GhostForm.exe ausgeführt. Anschließend wird die Funktion „Datenbank“ aufgerufen, um den MSSQLSERVER-Dienst zu beenden und die Dateien im Ordner „Microsoft SQL Server“ zu verschlüsseln.
Es enthält eine Liste der zu verschlüsselnden Dateierweiterungen, wie in Abb. 9 dargestellt.
Außerdem ruft es die Funktion „datosC“ auf, die nur Dateien verschlüsselt, die sich im Stammverzeichnis des Laufwerks „C“ befinden.
GhostService.exe verwaltet einen Timer, der diese Aufgaben alle 120 Sekunden wiederholt.
GhostForm.exe zeigt eine Lösegeldforderung an. Es verfügt außerdem über einen Timer, der die Lösegeldforderung alle 120 Sekunden schließt.
Die Code-ID in der Lösegeldforderung ist dieselbe wie die in C:\Do_Not_Delete_codeId.txt.
Wie in Abb. 12 zu sehen ist, verlangt der Malware-Autor die Zahlung von Bitcoin im Wert von 500 USD an die folgende Adresse: https://blockchain.info/payment_request?address=1N7AmqH12EN3yAkVMPB5rZoVX758jgLbzj&amount_local=500¤cy=USD&nosavecurrency=true&message=Pay%20me!
Als nächstes ruft es die Funktion „startEncrypt“ auf, um eine Liste der in den folgenden Ordnern vorhandenen Dateien zu erstellen:
- Desktop
- DokumentAAA
- Bild
- Videos
- Musik
Wie aus der obigen Liste hervorgeht, verschlüsselt die Malware Dateien nur an bestimmten Orten. Sie zielt auf den Desktop-Ordner ab, in dem der Benutzer normalerweise die meisten seiner Daten speichert. Darüber hinaus sind Dokumente, Bilder, Videos und Musikordner, die vom Windows-Betriebssystem zum Speichern der jeweiligen Dateitypen bereitgestellt werden.
Funktionen zum Abrufen der Dateiliste aus den oben genannten Ordnern sind in GhostFile.dll vorhanden.
Die Malware erstellt eine Dateiliste basierend auf den in der Erweiterungsliste vorhandenen Erweiterungen, wie in Abb. 20 dargestellt. Sobald die Dateiliste fertig ist, wird die Verschlüsselungsroutine von GhostHammer.dll aufgerufen. Die Dateien werden mit dem AES-Algorithmus verschlüsselt und die Erweiterung „.Ghost“ wird den verschlüsselten Dateien hinzugefügt.
Der Unterschied zwischen den beiden Erweiterungslisten besteht darin, dass „.txt“-Dateien nicht von GhostService verschlüsselt werden, während sie von GhostForm.exe verschlüsselt werden.
IOCs:
3a2633cd5152a229d1f986073082ecd0
3d33f7f9f2e5fa3f4e7d2d6de5c9b7f1
464da6c4465816cba2d278634e2b9d3e
5db40b7c42376cc077383069a9c509eb
b93588bbb3f3f0addd5598586bbe2566
cd0f7f29e337f2ebe455ba4a85fb2b70
Quick Heal-Produkte erkennen diese Malware mit den folgenden Namen:
„Lösegeld.Geist.S*“
„Lösegeld.Fledermaus.Geist.*“
Fazit:
Wir haben festgestellt, dass die Zahl der Ransomware-Angriffe in letzter Zeit deutlich zugenommen hat. Malware-Autoren verwenden mittlerweile verschiedene Techniken zur Verschlüsselung von Benutzerdateien.
Einige allgemeine Empfehlungen zum Schutz vor Ransomware:
- Öffnen Sie keine verdächtigen E-Mails, insbesondere wenn diese einen Anhang enthalten.
- Aktualisieren Sie Ihr Betriebssystem (OS)
- Aktualisieren Sie Ihre Software. Ältere und veraltete Softwareversionen weisen Schwachstellen auf, die Angreifer meist ausnutzen, um Ihr System zu infizieren.
- Erstellen Sie regelmäßig eine Datensicherung und bewahren Sie diese an einem sicheren Ort auf.
- Verwenden Sie ein mehrschichtiges Antivirenprogramm, das Sie vor Echtzeitbedrohungen schützt. Halten Sie Ihr Antivirenprogramm stets auf dem neuesten Stand.
Fachexperten:
Ravi Gidwani | Quick Heal Sicherheitslabore
