JCry – Ransomware yang ditulis dalam Golang!

Selama beberapa bulan terakhir, QH Labs telah mengamati peningkatan aktivitas ransomware. Kami menemukan ransomware baru yang ditulis dalam bahasa Go. Para pembuat malware merasa lebih mudah untuk menulis ransomware dalam bahasa Go daripada bahasa pemrograman tradisional.

Infeksi ransomware Jcry dimulai dengan situs web yang disusupi.

Seperti yang ditunjukkan pada gambar di atas, pembuat malware mencoba menyamar sebagai pengguna dengan berpura-pura menjadi pembaruan Adobe Flash Player dan mengunduh malware ke komputer pengguna. Gambar 1 berisi bagian JavaScript yang dihosting di domain yang disusupi, yang mengunduh berkas berbahaya dari URL yang diberikan. Setiap kali pengguna yang disamarkan mengklik tombol "Perbarui" dan menjalankan berkas berbahaya dengan tujuan memperbarui Flash Player, malware memulai eksekusinya.

Alur Eksekusi:

Analisis teknis:

Malware yang diunduh (flashplayer_install.exe) adalah arsip yang mengekstrak sendiri. Saat dijalankan, komponen-komponen yang disebutkan di bawah ini akan diekstrak ke dalam direktori "Startup" untuk memastikan persistensinya.

Komponen:

1. msg.vbs
2. Enc.exe
3. Dec.exe

Seperti yang disebutkan pada gambar di atas, komponen ekstrak malware dan memulai msg.vbs bersama dengan enc.exe (Encryptor)

msg.vbs:

Berkas ini digunakan untuk menyamar sebagai pengguna, sistem mencoba memperbarui Adobe Flash Player tetapi akses ditolak untuk pengguna.

Enc.exe (Enkripsi):

Eksekusi ini bertanggung jawab atas enkripsi berkas dan ditulis dalam bahasa Go.

Saat dijalankan, malware pertama-tama memeriksa keberadaan berkas "personalKey.txt" di direktori saat ini untuk memastikan sistem sudah terinfeksi atau belum. Jika berkas tersebut ada, malware menganggap sistem sudah terinfeksi dan menghentikan dirinya sendiri. Selain itu, malware juga menghapus msg.vbs dan Enc.exe dengan bantuan berkas dekripsi. Selama enkripsi, malware menggunakan kombinasi algoritma AES dan RSA. Enkripsi berkas dilakukan menggunakan algoritma AES 128-bit dengan Vektor inisialisasi 16-byte dalam mode CBC. Kunci publik RSA yang di-hardcode ditemukan dalam berkas enc.exe yang kemudian digunakan untuk mengenkripsi kunci AES.

 

Ini mengenkripsi 138 file ekstensi yang tercantum di bawah ini.

"3dm, 3ds, 3g2, 3gp, 7z, ai, aif, apk, app, asf, asp, avi, b, bak, bin, bmp, c, cbr, cer, cfg, cfm, cgi, cpp, crx, cs, csr, css, csv, cue, dat, db, dbf, dcr, dds, deb, dem, der, dmg, dmp, doc, dtd, dwg, dxf, eps, fla, flv, fnt, fon, gam, ged, gif, gpx, gz, h, hqx, htm, ics, iff, iso, jar, jpg, js, jsp, key, kml, kmz, log, lua, m, m3u, m4a, m4v, max, mdb, mdf, mid, mim, mov, mp3, mp4, mpa, mpg, msg, msi, nes, obj, odt, otf, pct, pdb, pdf, php, pkg, pl, png, pps, ppt, ps, psd, py, rar, rm, rom, rpm, rss, rtf, sav, sdf, sh, sln, sql, srt, svg, swf, tar, tex, tga, thm, tif, tmp, ttf, txt, uue, vb, vcd, vcf, vob, wav, wma, wmv, wpd, wps, wsf, xlr, xls, xml, yuv, zip”

Untuk mempercepat enkripsi, sistem hanya mengenkripsi data 1MB untuk file berukuran lebih dari 1 MB. Setelah enkripsi file berhasil, sistem menambahkan ekstensi ".jcry" ke nama file.

Setelah mengenkripsi file, semua salinan bayangan dihapus dengan bantuan perintah di bawah ini.

                                                                  “vssadmin menghapus bayangan /semua”

dan luncurkan Dec.exe menggunakan perintah Powershell.

Dec.exe:

Saat Dec.exe dijalankan, enc.exe akan dihentikan dan dihapus. Dec.exe adalah aplikasi konsol yang meminta kunci dekripsi (kunci privat RSA). Setelah memasukkan kunci yang valid, Dec.exe dapat mendekripsi file terenkripsi.

Aplikasi ini juga mengirimkan pesan tebusan di lokasi desktop. Untuk memulihkan file terenkripsi, aplikasi ini meminta tebusan sebesar $500 dan menyediakan tautan onion (hxxp://kpx5wgcda7ezqjty.onion) yang akan memberi pengguna yang terinfeksi kunci pribadi setelah pembayaran.

 

IOC:

flashplayer_install.exe: c86c75804435efc380d7fc436e344898
Enc.exe : 5B640BE895C03F0D7F4E8AB7A1D82947
Dec.exe : 6B4ED5D3FDFEFA2A14635C177EA2C30D
Tautan Pemulihan: hxxp://kpx5wgcda7ezqjty.onion
ID Dompet: 1FKWhzAeNhsZ2JQuWjWsEeryR6TqLkKFUt

 

Tips pencegahan:

1. Buat cadangan data penting Anda secara berkala di drive eksternal seperti HDD, pen drive, atau penyimpanan Cloud.
2. Instal antivirus dan selalu perbarui.
3. Selalu perbarui Sistem Operasi dan perangkat lunak Anda.
4. Jangan sekali-kali mengeklik tautan atau mengunduh lampiran dari sumber yang tidak dikenal atau tidak diinginkan.

Pakar Materi Pokok:

Nagesh lathakar, Pratik Pachpor | Lab Keamanan Pemulihan Cepat