Mnamo Januari 2018, Greenfield, Hancock Health (mtandao wa afya) yenye makao yake Indiana ilishambuliwa na SamSam ransomware. Ilisimba kwa njia fiche faili zilizo na data ya wagonjwa ambayo ilitatiza huduma zao muhimu. Ingawa SamSam sio programu mpya ya ukombozi, imebadilika kwa muda. Tulikuwa tumeona lahaja yake ya kwanza mnamo Februari 2016 ambayo ilitumia algoriti ya RSA kusimba faili zilizolengwa kwa njia fiche. Hata hivyo, wakati huu, tumeona mabadiliko makubwa katika jinsi programu hii ya ukombozi ilizinduliwa. Tofauti kuu kati ya vibadala vya zamani na vipya ni matumizi ya 'runner.exe' inayoweza kutekelezwa - inasimbua faili ya kiendelezi ya '.stubbin' na kutekeleza maudhui yaliyosimbwa. Matokeo ya usimbuaji ni faili ya SamSam ransomware.
Mchoro wa 1 hapa chini unaonyesha safu ya uvamizi ya kampeni ya sasa ya SamSam ransomware.
Mbinu ya kusambaza hufanya 'Mkimbiaji' kuwa sehemu muhimu katika kampeni ya SamSam ransomware. Walakini, hatujui chanzo cha maambukizi ya 'runner.exe'. Katika chapisho hili, tutakuwa tukichunguza kwa kina 'runner.exe' - sehemu muhimu ya kampeni hii.
Mwanariadha
Tumeona lahaja tofauti za 'runner.exe' katika miezi michache iliyopita. Kwa kila lahaja, tuliona mabadiliko katika idadi ya hoja zinazopitishwa kwa 'runner.exe'. Hoja ya kwanza inatumika kama nenosiri kusimbua faili ya '.stubbin' na hoja zilizosalia hupitishwa ili kusimbua upakiaji ambao ni programu ya SamSam ransomware.
Hebu tuangalie maelezo ya .NET iliyokusanywa inayoweza kutekelezwa (runner.exe) ya lahaja yenye hoja tatu za mstari wa amri.
'Runner.exe' hutafuta faili zilizo na kiendelezi cha '.stubbin' katika saraka yake ya sasa ya kufanya kazi. Faili ya kwanza iliyopatikana ni faili inayotakiwa iliyosimbwa. Kisha inanakili maudhui ya faili katika safu (arg_4E_0) na kufuta faili asili ya '.stubbin'. Mkusanyiko wa baiti zilizosimbwa na hoja ya kwanza kutoka kwa safu ya amri (nenosiri) hupitishwa hadi kwa chaguo la kukokotoa la 'Simbua'. Runner kisha hupakia baiti zilizosimbwa kwenye kumbukumbu na kuitekeleza kwa kupitisha hoja zake zilizosalia za safu ya amri kama ingizo.
Usimbuaji wa faili ya '.stubbin'
'Runner.exe' hutumia algoriti ya Rijndael kusimbua baiti zinazopitishwa kama data ya Cipher. Hii ni algoriti ya ufunguo wa ulinganifu wa kriptografia. Hapa, hutumia kitufe cha baiti 32 na baiti 16 za Initialization Vector (IV) kusimbua faili ya '.stubbin'.
Kielelezo cha 4 hapa chini kinaonyesha utengenezaji wa ufunguo na IV kwa kutumia nenosiri.
Darasa la 'PasswordDeriveBytes' hutumika kutengeneza ufunguo na IV. Ni kijenzi cha NET kilichofafanuliwa awali ambacho huchukua nenosiri na chumvi kama ingizo ili kutoa ufunguo. Chumvi ni data nasibu inayotumiwa kama kiingizio cha ziada kwa chaguo za kukokotoa ambazo "huweka haraka" nenosiri na kutumika kufanya nenosiri la kawaida kuwa la kawaida.
Mchoro wa 5 hapa chini unaonyesha utaratibu wa kusimbua ambao unasimbua faili ya SamSam ransomware.
Kijenzi cha 'CryptoStream' na kipunguza sauti cha Rijndael hutumika kwa shughuli za kriptografia ambazo hufanywa kwenye CipherData. Kwa kutumia IV, ufunguo wa algoriti ya Rijndael kwenye data ya Cipher itasababisha upakiaji wa programu ya ukombozi.
Tofauti za mkimbiaji
Katika toleo la zamani zaidi la SamSam ransomware, hakuna 'runner.exe' iliyozingatiwa. Upakiaji tu ndio uliotekelezwa kwa ufunguo wa ulinganifu wa RSA kama hoja ya mstari wa amri. Lakini, lahaja ya hivi punde zaidi hutumia 'runner.exe' na hoja 4.
Kielelezo cha 6 hapa chini kinaonyesha tofauti kati ya hoja zinazopitishwa katika lahaja tofauti za 'runner.exe'.
Pia tunazingatia vibadala vichache vinavyotumia ufichuzi katika msimbo wao na majina ya utendaji.
Mbinu za utumaji zinazotumiwa katika kampeni ya SamSam ransomware hufanya urejeshaji wa programu kuu ya ukombozi kuwa ngumu. Kwa hivyo huzuia mchakato wa kutoa ugunduzi tuli kwenye faili ya SamSam ransomware. Sifa ya muhuri wa wakati katika vibadala huonyesha kuwasili kwa vibadala vipya vya 'runner.exe' kila mwezi. Kwa hivyo, katika siku zijazo, tunaweza kuona vibadala vipya vilivyo na utaftaji zaidi na utendakazi wa hali ya juu.
Kiashiria cha maelewano
D8469E625AE90AB64D4AEF0B63F42150
7A25B0D43047552CBDAD17CFB488317D
038FB413F51B0AB7EB088E0F3EA7BE90
A82DB52BC6F1E5477EB1809CD5F23489
Wataalam wa Masomo
Dhwanit Shrivastava, Yogesh Bane | Maabara ya Usalama ya Uponyaji Haraka
