अर्को र्‍यान्समवेयर प्रकोप! यस पटक यो खराब खरायो हो

हालैको ब्याड र्‍याबिट र्‍यान्समवेयरको प्रकोप अहिले हेडलाइन बनिरहेको छ। यो पोस्टले क्विक हिल सेक्युरिटी ल्याब्सद्वारा गरिएको र्‍यान्समवेयरको विश्लेषणको रूपरेखा प्रस्तुत गर्दछ।

हाम्रो टेलिमेट्री अनुसार, हामीले अहिलेसम्म हाम्रा ग्राहकहरूको मेसिनहरूमा कुनै पनि Bad Rabbit ransomware संक्रमण देखेका छैनौं।

प्रचार प्रविधि
तलको URL बाट ड्राइभ-बाइ-डाउनलोड आक्रमण मार्फत खराब खरायो वितरित गरिएको छ।

hxxp://1dnscontrol[.]com/flash_install.php

पेलोडले "install_flash_player.exe" नामक नक्कली Adobe Flash Player अपडेट भएको बहाना गरिरहेको छ। ransomware ले UAC प्रम्प्ट प्रयोग गरेर प्रशासनिक विशेषाधिकारमा आफूलाई बढाउँछ। यसबाहेक, यसले 'C:\Windows\infpub.dat' खसाल्छ जुन वास्तवमा 'rundll32.exe' मार्फत कार्यान्वयन गरिएको DLL फाइल हो जुन तलको कार्यान्वयन प्रवाहमा देखिए जस्तै हो।

कार्यान्वयन प्रवाह

खसालिएका कलाकृतिहरू                                             

ब्याड र्‍याबिट र्‍यान्समवेयरले लोकप्रिय टिभी शृङ्खला गेम अफ थ्रोन्समा ड्र्यागनहरूको नामबाट नामकरण गरिएका धेरै कलाकृतिहरू खसाल्छ।

• C:\विन्डोज\infpub.dat
  • C:\Windows\System32\Tasks\drogon
  • C:\Windows\System32\Tasks\Rhaegal
  • C:\विन्डोज\csc.dat
  • C:\विन्डोज\dispci.exe

'infpub.dat' कार्यान्वयन गर्न 'rundll32.exe' प्रयोग गर्न ransomware बाट प्राप्त कोडको स्क्रिनसट तल दिइएको छ।

' infpub.dat ' ले 'C:\Windows' मा एक दुर्भावनापूर्ण कार्यान्वयनयोग्य 'dispci.exe' खसाल्छ जुन डिस्क इन्क्रिप्शनको लागि जिम्मेवार छ।

'infpub.dat' ले ' drogon' नामका दुई कार्यहरू सिर्जना गर्दछ जुन प्रणालीलाई जबरजस्ती पुन: सुरु गर्न प्रयोग गरिन्छ र 'rhaegal' जुन स्टार्टअपमा प्रोग्राम सुरु गर्न प्रयोग गरिन्छ।

तल देखाइएको फाइल एक्सटेन्सनहरूको सूचीको लागि आक्रमणकारीको साझा सार्वजनिक RSA-2048 कुञ्जी प्रयोग गरेर फाइल इन्क्रिप्शनको लागि पनि Infpub.dat जिम्मेवार छ।

छोडिएको फाइल 'dispci.exe' ले वास्तविक DiskCryptor उपयोगिताबाट संस्करण जानकारी प्रयोग गर्दछ जुन MBR संक्रमणको लागि जिम्मेवार छ जसले प्रभावित प्रणालीको बुट-अप प्रक्रियालाई तलको छविमा देखाइए अनुसार फिरौती तिर्न नसकेसम्म रोक्छ।

यो नेटवर्कमा कसरी फैलिन्छ

' infpub.dat' ले हार्ड-कोडेड क्रेडेन्शियलहरू प्रयोग गरेर लगइन क्रेडेन्शियलहरूलाई ब्रुट-फोर्स गर्ने प्रयास गर्छ र प्रणाली मेमोरीबाट NTLM क्रेडेन्शियलहरू निकाल्न Mimikatz मोड्युल पनि प्रयोग गर्छ। यी क्रेडेन्शियलहरू SMB र WebDAV मार्फत उही नेटवर्कमा अन्य नेटवर्क वर्कस्टेशनहरू र सर्भरहरू पहुँच गर्न प्रयोग गरिन्छ।

Bad Rabbit ransomware र NotPetya ransomware बीच समानताहरू

• '.dat' एक्सटेन्सन भएको विन्डोज फोल्डरमा DLL फाइलहरू खसाल्छ र 'rundll32.exe' प्रयोग गरेर अर्डिनल १ (#१) प्रयोग गरेर कार्यान्वयन गर्छ।
• NTLM प्रमाणपत्रहरू निकासीको लागि 'MimiKatz' मोड्युलको प्रयोग
• 'shutdown.exe' प्रयोग गरेर प्रणाली पुन: सुरु गर्न तालिका कार्य प्रयोग गर्दछ।
• MBR संक्रमण पछि यस्तै फिरौती नोट प्रदर्शन गर्दछ
• नेटवर्कमा फैलाउन WMI र SMB प्रयोग गर्दछ।

यद्यपि दुबै ransomware मा धेरै समानताहरू छन्, Bad Rabbit वाइपर होइन।

सम्झौताका सूचकहरू

SHA256	फाइलनाम
630325cac09ac3fab908f903e3b00d0dadd5fdaa0875ed8496fcbb97a558d0da	फ्ल्यास_प्लेयर.एक्सई स्थापना गर्नुहोस्
8ebc97e05c8e1073bda2efb6f4d00ad7e789260afa2c276f0c72740b838a0a93	dispci.exe प्रयोग गर्न सकिन्छ।
579fd8a0385482fb4c789561a30b09f25671e86422f40ef5cca2036b28f99648	infpub.dat मा

खराब URL हरू

• https://1dnscontrol[.]com
• https://1dnscontrol[.]com/flash_install.php

Seqrite पत्ता लगाउने

• ट्रोजनरान्सम.जेन
• फिरौती। तिब्बर
• फिरौती।खराब खरायो।A5
• फिरौती।खराब खरायो।B5
• फिरौती।खराब खरायो।C5
• फिरौती।बद्रबिट।पीबी५

कसरी सुरक्षित रहन

• सफ्टवेयर विक्रेता (यस अवस्थामा - एडोब) सँग सम्बन्धित नभएका पप-अप विज्ञापन वा वेबसाइटहरूबाट कहिल्यै पनि सफ्टवेयर डाउनलोड नगर्नुहोस्।
• अनावश्यक, अज्ञात वा अप्रत्याशित स्रोतहरूबाट इमेलमा आउने लिङ्कहरूमा कहिल्यै क्लिक नगर्नुहोस् वा संलग्नकहरू डाउनलोड नगर्नुहोस्।
• अपरेटिङ सिस्टम र एडोब, जाभा, वेब ब्राउजरहरू, आदि जस्ता कार्यक्रमहरूको लागि सिफारिस गरिएका सबै सुरक्षा अपडेटहरू लागू गर्नुहोस्।
• सुरक्षित अनलाइन र अफलाइन स्थानहरूमा आफ्नो महत्त्वपूर्ण डेटाको नियमित ब्याकअप लिनुहोस्।
• एक प्रयोग गर्नुहोस् तहबद्ध सुरक्षा सफ्टवेयर र यसलाई अद्यावधिक राख्नुहोस्।

विषय कुरा विज्ञहरु

अनिता लडकत, शान्तनु विचारे, प्रशिल मुन, श्रीराम मुंडे, प्रकाश गलांडे | द्रुत निको सुरक्षा प्रयोगशालाहरू