В течение нескольких месяцев лаборатория Quick Heal Security Labs наблюдает рост числа программ-вымогателей, созданных на платформе .NET Framework. Было обнаружено, что такие программы-вымогатели, как SamSam , Lime и теперь Shrug, созданы на платформе .NET Framework. Авторам вредоносного ПО стало гораздо проще создавать и обфусцировать вредоносные программы на платформе .NET Framework, чем в других компиляторах.
Лаборатория Quick Heal Security Labs обнаружила новый вирус-вымогатель под названием Shrug2 . Этот вирус требует выкуп в размере 70 долларов в биткоинах за расшифровку файлов.
Вектор заражения этой программой-вымогателем пока неизвестен, но этот файл может попасть на компьютер жертвы через фишинговые письма, атаки методом подбора паролей RDP, вредоносную рекламу, в комплекте с другими файлами и т. д.
Технический анализ
Перед началом шифрования файлов этот вирус-вымогатель проверяет наличие активного интернет-соединения в бесконечном цикле, пытаясь подключиться к следующему URL-адресу:
“ hxxp ://clients3[.] google [.]com/generate_204 ”
Если на системе жертвы обнаружено активное интернет-соединение, система проверяет, была ли она ранее заражена вирусом « SHRUG2 », сверяя данные с указанной ниже записью в реестре:
“ HKCU\ShrugTwo ”
Если система не заражена, то она создает подраздел с именем « ShrugTwo » в HKCU и добавляет к нему соответствующие значения, как показано на рис. 3.
Идентификатор : генерируется на основе имени пользователя, вошедшего в систему, с добавлением случайно сгенерированного числа от 10000 до 99999.
Например: Имя пользователя/25413
Installdate : Дата и время заражения системы жертвы программой-вымогателем. Эта дата и время используются программой-вымогателем для отображения оставшегося времени для расшифровки файлов, как показано на рис. 15.
cryKey : Случайно сгенерированный 256-битный ключ AES, используемый для шифрования файлов.
cryIV : Случайно сгенерированный вектор инициализации, используемый для шифрования файлов.
После этого вредоносная программа выполняет следующую команду, чтобы предоставить все разрешения каталогу и подкаталогам, присутствующим в %CD%. Эта команда также использовалась вирусом-вымогателем WannaCry.
icacls . /grant Everyone :F /T /C /Q
Как и все программы-вымогатели, он также удаляет точки восстановления на системе жертвы. Для этого он не использует тривиальное удаление точек восстановления, например,
vssadmin удалить тени /все /quiet и wmic shadowcopy удалить
Вместо этого используется очень необычный метод с применением srclient.SRRemoveRestorePoint , как показано ниже:
Этот вирус-вымогатель шифрует файлы примерно с 76 различными расширениями. Список расширений следующий:
«txt, .docx, .xls, .doc, .xlsx, .ppt, .pptx, .odt, .jpg, .png, .jpeg, .csv, .mdb, .db, .sln, .html, .php, .asp, .aspx, .html, .xml, .json, .dat, .cpp, .cs, .c, .js, .java, .mp4, .ogg, .mp3, .wmv, .avi, .gif, .mpeg, .msi, .rar, .7zip, .z, .apk, .yml, .qml, .py3, .aif, .cda, .mpa, .wpl, .mid, .pkg, .deb, .arj, .rpm, .gz, .dbf, .yml, .tar, .pl, .rb, .ico, .tif, .asp, .xhtml, .rss, .jsp, .htm, .o, .zip, .midi, .tiff, .tiff, .midi, .zip, .tar.gz, .pyw, .bmp, .sql, .psd, .7z”
Программа-вымогатель перечисляет все файлы с указанными выше расширениями, находящиеся только на диске C:\\, и сохраняет их в списке с именем « FilesToHarm ». Этот список впоследствии используется для шифрования файлов.
Аналогичный список создается и под названием « HarmedFiles » , содержащий пути к зашифрованным файлам с расширением «.SHRUG2 » , когда выплачивается требуемая сумма выкупа или истекает время, отведенное на расшифровку файлов. Этот созданный список используется для расшифровки или удаления файлов.
Этот вирус-вымогатель использует алгоритм AES256 в режиме CBC (Cipher Block Chaining) для шифрования перечисляемых файлов. В этом режиме требуется ключ вместе с вектором инициализации (IV).
Код, показанный на рис. 10, используется для создания списка ниже и случайным образом выбирает из него 32 символа, которые используются в качестве ключа AES 256 бит.
“ ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789 ”
Аналогично, код, показанный на рис. 11, используется для создания списка ниже и случайным образом выбирает из него 16 символов, которые используются как AES 128-бит IV.
“ ZYXWVUTSRQPONMLKJIHGFEDCBAzyxwvutsrqponmlkjihgfedcba9876543210 ”
Ранее сгенерированные ключ и вектор инициализации используются для шифрования путей к файлам, присутствующим в списке « FilesToHarm » . После шифрования программа-вымогатель добавляет к файлам расширение « .SHRUG2 » .
Для шифрования файлов вирус-вымогатель выбирает данные из файловых фрагментов по 128 бит. Эти фрагменты данных шифруются с использованием ранее сгенерированного ключа и вектора инициализации (IV) в режиме CBC.
После того как все файлы в списке « FilesToHarm» будут зашифрованы, эта программа-вымогатель отправляет всю сгенерированную информацию, такую как идентификатор, дата установки, cryKey и cryIV, на указанный ниже URL-адрес CnC, который находится в файле.
hxxp://tempacc11vl[.]000webhostapp[.]com/marthas_stuff/uphash[.]php
Затем программа-вымогатель создает на рабочем столе ярлык с именем « @ShrugDecryptor@ ». Имя этому ярлыку присваивается для того, чтобы обмануть жертву.
После создания ярлыка ниже отображается записка с требованием выкупа, в которой указано оставшееся время для расшифровки файлов, а также адрес биткойн-кошелька автора программы-вымогателя.
Помимо шифрования файлов, вирус-вымогатель может выполнять и другие действия, такие как расшифровка и удаление файлов.
Файлы расшифровываются после выплаты выкупа в биткоинах автору вредоносного ПО по адресу кошелька « 1Hr1grgH9ViEgUx73iRRJLVKH3PFjUteNx ».
Если сумма выкупа не будет выплачена в течение указанного периода времени, все зашифрованные файлы будут удалены.
После успешного удаления зашифрованного файла этот вирус-вымогатель также удаляет все свои следы. DeleteSubKey удаляет запись в реестре « HKCU\ShrugTwo », а затем создает процесс для своего удаления.
Индикаторы компрометации:
MD5: 04112aec47401c3d91a92cfdf9de02e6
Реестр: HKCU\ShrugTwo
Адрес биткойн-кошелька: 1Hr1grgH9ViEgUx73iRRJLVKH3PFjUteNx
URL:
hxxp://clients3[.]google[.]com/generate_204
hxxp://tempacc11vl[.]000webhostapp[.]com/marthas_stuff/upoldhash[.]php
Quick Heal успешно обнаружил программу-вымогатель Shrug2 как « Ransom.Shrug.ZZ1 ».
Советы по профилактике
- Регулярно создавайте резервные копии важных данных на внешних носителях, таких как жесткий диск, флеш-накопитель или облачное хранилище.
- Установите антивирус и регулярно его обновляйте.
- Регулярно обновляйте операционную систему и программное обеспечение.
- Никогда не переходите по ссылкам и не загружайте вложения из неизвестных или нежелательных источников.
Эксперт предметной области
Пиюш Бансал, Пратик Пачпор | Quick Heal Security Labs
