Sa loob ng ilang buwan, naoobserbahan ng QH Labs ang pagtaas ng aktibidad ng ransomware. Nakakita kami ng isang bagong ransomware na nakasulat sa Go lang. Nakikita ng mga may-akda ng malware na mas madali nang magsulat ng ransomware sa Go lang kaysa sa mga tradisyonal na programming language.
Ang impeksyon ng Jcry ransomware ay nagsisimula sa isang nakompromisong website.
Gaya ng ipinapakita sa larawan sa itaas, sinusubukan ng may-akda ng malware na gayahin ang mga user sa pamamagitan ng pagpapanggap bilang isang update ng Adobe flash player at pag-download ng malware sa machine ng user. Ang Fig 1. ay naglalaman ng bahagi ng javascript na naka-host sa nakompromisong domain, na nagda-download ng malisyosong file mula sa ibinigay na URL. Sa tuwing magki-click ang isang impersonated user sa Update button at magpapatupad ng malisyosong file na may layuning i-update ang flash player, sinisimulan ng malware ang pagpapatupad nito.
Daloy ng Pagpapatupad:
Teknikal na Pagtatasa:
Ang na-download na malware (flashplayer_install.exe) ay self-extracting archive. Sa pagpapatupad, kukunin nito ang mga nabanggit na bahagi sa ibaba sa direktoryo ng "Startup" upang lumikha ng pagtitiyaga nito.
Mga Bahagi:
- msg.vbs
- Enc.exe
- Dec.exe
Gaya ng nabanggit sa figure sa itaas na mga bahagi ng malware extract at nagsisimula sa msg.vbs kasama ng enc.exe(Encryptor)
msg.vbs:
Ang file na ito ay ginagamit upang gayahin ang user na, sinubukan ng system na i-update ang adobe flash player ngunit ang access ay tinanggihan para sa user.
Enc.exe (Encryptor):
Ang executable na ito ay responsable para sa pag-encrypt ng file at ito ay nakasulat sa wikang Go.
Sa pagpapatupad, sinusuri muna nito ang pagkakaroon ng "personalKey.txt" na file sa kasalukuyang direktoryo, upang matukoy na ang system ay nahawaan na o hindi. Kung umiiral ang file, isinasaalang-alang ng malware na ang system ay nahawaan na at tinapos nito ang sarili nito. Pati na rin ang pagtanggal ng msg.vbs at Enc.exe sa tulong ng decryptor file. Sa panahon ng pag-encrypt, ginagamit nito ang kumbinasyon ng AES at RSA algorithm. Isinasagawa ang pag-encrypt ng file gamit ang AES 128 bit algorithm na may 16-byte initialization Vector sa CBC mode. Ang hardcoded RSA public key ay matatagpuan sa enc.exe file na sa kalaunan ay ginamit upang i-encrypt ang AES key.
Ine-encrypt nito ang nakalista sa ibaba ng 138 extension file.
“3dm, 3ds, 3g2, 3gp, 7z, ai, aif, apk, app, asf, asp, avi, b, bak, bin, bmp, c, cbr, cer, cfg, cfm, cgi, cpp, crx, cs, csr, css, csv, cue, bdd, ddem, cr, bdd, d der, dmg, dmp, doc, dtd, dwg, dxf, eps, fla, flv, fnt, fon, gam, ged, gif, gpx, gz, h, hqx, htm, ics, iff, iso, jar, jpg, js, jsp, key, kml, kmz, log, lua, m3, m, m4, luav, m4 mdf, mid, mim, mov, mp3, mp4, mpa, mpg, msg, msi, nes, obj, odt, otf, pct, pdb, pdf, php, pkg, pl, png, pps, ppt, ps, psd, py, rar, rm, rom, rpm, rss, rtfln, rpm, rss, rtfln srt, svg, swf, tar, tex, tga, thm, tif, tmp, ttf, txt, uue, vb, vcd, vcf, vob, wav, wma, wmv, wpd, wps, wsf, xlr, xls, xml, yuv, zip”
Para mapabilis ang pag-encrypt, 1MB data lang ang ini-encrypt nito para sa mga file na may sukat na higit sa 1 MB. Pagkatapos ng matagumpay na pag-encrypt ng file, idaragdag nito ang ".jcry" na extension sa filename.
Pagkatapos ng pag-encrypt ng mga file, tinatanggal nito ang lahat ng mga kopya ng anino sa tulong ng utos sa ibaba.
"vssadmin tanggalin ang mga anino / lahat"
at ilunsad ang Dec.exe gamit ang Powershell command.
Dec.exe:
Sa pagpapatupad ng Dec.exe una itong tinatapos at tinatanggal ang enc.exe. Ang Dec.exe ay console application na nagtatanong ng decryption key (RSA private key). Pagkatapos magpasok ng wastong key, maaari nitong i-decrypt ang mga naka-encrypt na file.
Nag-drop din ito ng ransom note sa lokasyon ng desktop. Para mabawi ang mga naka-encrypt na file, humihingi ito ng 500$ bilang ransom at nagbibigay ng onion link (hxxp://kpx5wgcda7ezqjty.onion) kung saan ang infected na user ay makakakuha ng pribadong key pagkatapos magbayad.
Mga IOC:
flashplayer_install.exe: c86c75804435efc380d7fc436e344898
Enc.exe : 5B640BE895C03F0D7F4E8AB7A1D82947
Dec.exe : 6B4ED5D3FDFEFA2A14635C177EA2C30D
Link sa Pagbawi: hxxp://kpx5wgcda7ezqjty.onion
Wallet Id: 1FKWhzAeNhsZ2JQuWjWsEeryR6TqLkKFUt
Mga tip sa pag-iwas:
- Regular na kumuha ng backup ng iyong mahalagang data sa mga external na drive tulad ng HDD, pen drive o Cloud storage.
- Mag-install ng antivirus at panatilihin itong na-update.
- Panatilihing napapanahon ang iyong Operating System at software.
- Huwag kailanman mag-click sa mga link o mag-download ng mga attachment mula sa anumang hindi alam o hindi gustong mga mapagkukunan.
Eksperto sa Paksang Aralin:
Nagesh lathakar, Pratik Pachpor | Quick Heal Security Labs
