باسمه تعالی. بررسی و تحلیل باج افزار Fantom

Transkript

1 باسمه تعالی عنوان مستند بررسی و تحلیل باج افزار Fantom 1

2 1 فهرست مطالب مقدمه پی سناریوی آلودگی... 3 اجرای باج افزار... 5 لود اصلی بدافزار... 7 روشهای انتشار بدافزار... 8 مشخصات فایل تحلیل شده سطح تهدید فایل خالصه نحوه عملکرد و شناسایی تحلیل شده...9 بدافزار جمع 11 گزارش تحلیل ایجاد چندین فایل تغییرات رجیستری ارتباط با 12...C&C عملیات رمزنگاری بندی منابع

3 1 مقدمه یک باج افزار جدید به نام Fantom که بر پایه ی پروژه ی باج افزار متن باز EDA2 Kroustek می باشد توسط Jakub محقق بدافزار AVG کشف شده است. این باج افزار از یک قابلیت جالب که یک صفحه ی به روز رسانی تقلبی ویندوز تحت عنوان اینکه ویندوز در حال نصب به روز رسانی های حیاتی می باشد استفاده میکند. این باج افزار صفحه ی به روز رسانی تقلبی ویندوز را به کاربر نشان می دهد ولی در پشت زمینه در حال رمزنگاری فایل های قربانی می باشد. الزم به ذکر است که این باج افزار فقط در سیستم عامل های ویندوز 8 به بعد عملکرد واقعی خود را نشان می دهد. متاسفانه در حال حاضر هیچ راهی برای رمز گشایی کردن فایل های رمز شده با باج افزار Fantom وجود ندارد و راه های عادی برای گرفتن کلید های بر پایه باج افزار EDA2 هم برای این نوع باج افزار در دسترس نیستند. 2 سناریوی آلودگی توسعه دهندگان Fantom تالش زیادی برای پنهان کردن عملکرد مخرب باج افزار پشت یک پیغام به روز رسانی حیاتی ویندوز کرده اند. پوشش اصلی باج افزار Fantom این است که خود را بجای یک به روز رسانی مهم جا می زند. برای اضافه کردن درستی این به روز رسانی ویژگی های باج افزار می گوید که این باج افزار از سمت ماکروسافت است و شامل به روز رسانی های حیاتی می باشد. الزم به ذکر است که هیچ گاه به روز رسانی های ویندوز توسط ایمیل و در قالب یک فایل.exe نمیشود و حتی اگر دریافت شود آنها همیشه یک امضای دیجیتال اضافه شده توسط ماکروسافت دارند. دریافت 3

4 4

5 3 اجرای باج افزار به محض اجرا شدن باج افزار Fantom کاربر با دو فرایند مواجه می شود: برنامه ای که تحت عنوان بر عهده دارد. critical update WindowsFormsApplication5 عنوان تله از آن استفاده می شود. WindowsFormsApplication5 وجود دارد در واقع کار دستکاری کردن اطالعات در پس زمینه را نام برنامه ای است که توسط برنامه ی اول اجرا می شود و به یک صفحه ی تقلبی به روز رسانی ویندوز می سازد. این صفحه تمام صفحات فعال ویندوز را می پوشاند و به کاربر اجازهی رفتن به برنامه های دیگر را نمی دهد. هدف وجود WindowsFormsApplication5 منحرف کند و مانع متوجه شدن کاربر از خراب شدن فایل ها شود. این است که ذهن کاربر را از پروسه ی دستکاری فایل ها تا زمانی که بتواند 5

6 صفحه ی به روز رسانی تقلبی حتی یک عدد پیشرفت به صورت درصد هم دارد که نشان دهنده ی میزان فایل های رمز نگاری شده ی قربانی می باشد. این صفحه برای این است که به کاربر نشان دهد بروز رسانی تقلبی در حال نصب است و همچنین فعالیت های زیاد شده ی روی هارد درایو کاربر را توجیه کند. امکان بستن این پنجره با زدن کلید های Ctrl+F4 وجود دارد ولی این کار فقط صفحه ی بروز رسانی تقلبی را می بندد و باج افزار همچنان در پس زمینه در حال رمز نگاری فایل ها می باشد. این باج افزار همچنین با استفاد از کلید های رجیستری Task Manager را نیز غیر فعال می کند. 6

7 4 پی لود اصلی بدافزار این باج افزار فایلها با پسوند زیر را رمز کرده و از کاربر درخواست باج می کند:.3d,.3d4,.3df8,.3fr,.3g2,.3gp,.3gp2,.3mm,.7z,.aac,.abk,.abw,.ac3,.accdb,.ace,.act,.ade,.adi,.adpb,.adr,.adt,.ai,.aim,.aip,.ais,.amf,.amr,.amu,.amx,.amxx,.ans,.ap,.ape,.api,.apk,.arc,.arch00,.ari,.arj,.aro,.arr,.arw,.asa,.asc,.ascx,.ase,.asf,.ashx,.asmx,.asp,.aspx,.asr,.asset,.avi,.avs,.bak,.bar,.bay,.bc6,.bc7,.bck,.bdp,.bdr,.bib,.bic,.big,.bik,.bkf,.bkp,.blob,.blp,.bmc,.bmf,.bml,.bmp,.boc,.bp2,.bp3,.bpl,.bsa,.bsp,.cag,.cam,.cap,.car,.cas,.cbr,.cbz,.cc,.ccd,.cch,.cd,.cdr,.cer,.cfg,.cfr,.cgf,.chk,.clr,.cms,.cod,.col,.cp,.cpp,.cr2,.crd,.crt,.crw,.cs,.csi,.cso,.css,.csv,.ctt,.cty,.cwf,.d3dbsp,.dal,.dap,.das,.dayzprofile,.dazip,.db0,.dbb,.dbf,.dbfv,.dbx,.dcp,.dcr,.dcu,.ddc,.ddcx,.dem,.der,.desc,.dev,.dex,.dic,.dif,.dii,.dir,.disk,.divx,.diz,.djvu,.dmg,.dmp,.dng,.dob,.doc,.docm,.docx,.dot,.dotm,.dotx,.dox,.dpk,.dpl,.dpr,.dsk,.dsp,.dvd,.dvi,.dvx,.dwg,.dxe,.dxf,.dxg,.elf,.epk,.eps,.eql,.erf,.err,.esm,.euc,.evo,.ex,.exif,.f90,.faq,.fcd,.fdr,.fds,.ff,.fla,.flac,.flp,.flv,.for,.forge,.fos,.fpk,.fpp,.fsh,.gam,.gdb,.gho,.gif,.grf,.gthr,.gz,.gzig,.gzip,.h3m,.h4r,.hkdb,.hkx,.hplg,.htm,.html,.hvpl,.ibank,.icxs,.idx,.ifo,.img,.indd,.ink,.ipa,.isu,.isz,.itdb,.itl,.itm,.iwd,.iwi,.jar,.jav,.java,.jc,.jfif,.jgz,.jif,.jiff,.jpc,.jpe,.jpeg,.jpf,.jpg,.jpw,.js,.json,.kdb,.kdc,.kf,.kmz,.kwd,.kwm,.layout,.lbf,.lbi,.lcd,.lcf,.ldb,.lgp,.litemod,.log,.lp2,.lrf,.ltm,.ltr,.ltx,.lvl,.m2,.m2v,.m3u,.m4a,.mag,.man,.map,.max,.mbox,.mbx,.mcd,.mcgame,.mcmeta,.md,.md3,.mdb,.mdbackup,.mddata,.mdf,.mdl,.mdn,.mds,.mef,.menu,.mic,.mip,.mkv,.mlx,.mod,.mov,.moz,.mp3,.mp4,.mpeg,.mpg,.mpqge,.mrw,.mrwref,.msg,.msp,.mxp,.nav,.ncd,.ncf,.nds,.nef,.nfo,.now,.nrg,.nri,.nrw,.ntl,.odb,.odc,.odf,.odi,.odm,.odp,.ods,.odt,.odtb.oft,.oga,.ogg,.opf,.orf,.owl,.oxt,.p12,.p7b,.p7c,.pab,.pak,.pbf,.pbp,.pbs,.pcv,.pdd,.pdf,.pef,.pem,.pfx,.php,.pkb,.pkh,.pkpass,.pl,.plc,.pli,.pm,.png,.pot,.potm,.potx,.ppd,.ppf,.pps,.ppsm,.ppsx,.ppt,.pptm,.pptx,.prc,.prt,.psa,.psd,.psk,.pst,.ptx,.puz,.pwf,.pwi,.pwm,.pxp,.py,.qbb,.qdf,.qel,.qic,.qif,.qpx,.qtq,.qtr,.r3d,.ra,.raf,.rar,.raw,.rb,.re4,.res,.rev,.rgn,.rgss3a,.rim,.rng,.rofl,.rrt,.rsrc,.rsw,.rte,.rtf,.rts,.rtx,.rum,.run,.rv,.rw2,.rwl,.sad,.saf,.sav,.sb,.sc2save,.scm,.scn,.scx,.sdb,.sdc,.sdn,.sds,.sdt,.sen,.sfs,.sfx,.sh,.shar,.shr,.shw,.sid,.sidd,.sidn,.sie,.sis,.slm,.sln,.slt,.snp,.snx,.so,.spr,.sql,.sqx,.sr2,.srf,.srt,.srw,.ssa,.std,.stt,.stx,.sud,.sum,.svg,.svi,.svr,.swd,.swf,.syncdb,.t12,.t13,.tar,.tax,.tax2015,.tax2016,.tbz2,.tch,.tcx,.text,.tg,.thmx,.tif,.tlz,.tor,.tpu,.tpx,.trp,.tu,.tur,.txd,.txf,.txt,.uax,.udf,.umx,.unity3d,.unr,.unx,.uop,.upk,.upoi,.url,.usa,.usx,.ut2,.ut3,.utc,.utx,.uvx,.uxx,.val,.vc,.vcd,.vdf,.vdo,.ver,.vfs0,.vhd,.vmf,.vmt,.vob,.vpk,.vpp_pc,.vsi,.vtf,.w3g,.w3x,.wad,.war,.wav,.wave,.waw,.wb2,.wbk,.wdgt,.wks,.wm,.wma,.wmd,.wmdb,.wmmp,.wmo,.wmv,.wmx,.wotreplay,.wow,.wpd,.wpk,.wpl,.wps,.wsh,.wtd,.wtf,.wvx,.x3f,.xf,.xl,.xla,.xlam,.xlc,.xlk,.xll,.xlm,.xlr,.xls,.xlsb,.xlsm,.xlsx,.xltx,.xlv,.xlwx,.xml,.xpi,.xpt,.xvid,.xwd,.xxx,.yab,.yps,.z02,.z04,.zap,.zip,.zipx,.zoo,.ztmp 7

8 5 روشهای انتشار بدافزار - پیوست مخرب پست های الکترونیکی 6 مشخصات فایل تحلیل شده مشخصات فایل تحلیل شده بدین شرح است: Filename: criticalupdate01.exe Type: Win32 EXE MD5: 7d80230df68ccba871815d68f016c282 SHA-1: e10874c6108a26ceedfc84f b5b6b6 SHA256: f4234a501edcd30d3bc15c983692c b73bdd c5e3a43cc730b 8

9 7 سطح تهدید فایل تحلیل شده نتیجه بررسی فایل تحلیل شده با استفاده از تارنمای Virustotal.com در جدول ذیل ارایه شده است. همانطور که مشاهده میشود از بین 56 موتور تشخیص بدافزار 49 عدد این فایل را به عنوان بدافزار تشخیص دادهاند. Antivirus Result Update ALYac Trojan.Ransom.Fantom AVG Ransom_c.ALF AVware Trojan.Win32.Generic!BT Ad-Aware Trojan.Agent.BXUU AegisLab Troj.Downloader.Axzu!c AhnLab-V3 Trojan/Win32.Tear.C Antiy-AVL Trojan[Ransom]/MSIL.Tear Arcabit Trojan.Agent.BXUU Avast Win32:Malware-gen Avira (no cloud) TR/Downloader.axzu Baidu Win32.Trojan.WisdomEyes BitDefender Trojan.Agent.BXUU Bkav W32.Clod9d2.Trojan.3c CAT-QuickHeal Trojan.Skeeyah ClamAV Win.Ransomware.Fantom CrowdStrike Falcon (ML) malicious_confidence_100% (W) Cyren W32/Trojan.CLYD DrWeb Trojan.Encoder ESET-NOD32 a variant of Win32/Filecoder.Fantom.A Emsisoft Trojan.Agent.BXUU (B) F-Secure Trojan.Agent.BXUU Fortinet PossibleThreat GData Trojan.Agent.BXUU Ikarus Trojan.MSIL.EzirizNetReactor Invincea trojan.win32.skeeyah.a!rfn Jiangmin TrojanDownloader.Small.cbns K7AntiVirus Riskware ( 0040eff71 ) K7GW Riskware ( 0040eff71 ) Kaspersky Trojan-Ransom.MSIL.Tear.bf Malwarebytes Ransom.Fantom McAfee Generic.grp McAfee-GW-Edition BehavesLike.Win32.FakeAlert.dc escan Trojan.Agent.BXUU Microsoft Ransom:MSIL/Fantomcrypt.A NANO-Antivirus Trojan.Win32.CLYD1190.efuods Panda Trj/CI.A Qihoo-360 Trojan.Generic Sophos Troj/Fantom-B

10 راهکارهای پیشگیری شناسنامه بدافزار عنوان مستند: بررسی و تحلیل باج افزار Fantom Symantec Trojan.Gen Tencent Win32.Trojan.Raas.Auto TheHacker Trojan/Filecoder.Fantom.a TrendMicro Ransom_FANTOMCRYPT.A TrendMicro-HouseCall Ransom_FANTOMCRYPT.A VBA32 Hoax.MSIL.Tear VIPRE Trojan.Win32.Generic!BT ViRobot Trojan.Win32.Z.Agent AW[h] Yandex Trojan.Tear! Zillya Trojan.Tear.Win nprotect Trojan/W32.Agent GC خالصه نحوه عملکرد و شناسایی بدافزار در جدول زیر مشخصات بدافزار مذکور به همراه رویکرد تشخیص و پاکسازی به صورت خالصه مشاهده میشود. نام سال کشف Fantom 2116 پست الکترونیک حاوی لینک فایل باج افزار رمزگذاری کردن فایل های کاربر روش انتشار تاثیرات - استفاده از ضد ویروس های تحت شبکه و بروز نگه داشتن آنها سطح شبکه به روز بودن نرم افزار ضدبدافزار نصب شده برروی سیستم اجتناب از دانلود و باز کردن فایل های ضمیمه ایمیل های ناشناس و نامعتبر محدودسازی سطح دسترسی کاربر نظارت بر ترافیک شبکه برای ارتباطات C&C به طور مداوم سطح میزبان 11

11 گزارش تحلیل ایجاد چندین فایل هنگامی که فایل مخرب اجرا شود چند فایل در سیستم ایجاد می کند: %UserProfile%\2d5s8g4ed.jpg - فایل عکس پس زمینه: ایجاد فایل bat برای پاک کردن فایل های Shadow سیستم: - %AppData%\delback.bat o vssadmin delete shadows /all /quiet - ایجاد فایل اجرایی برای نمایش صفحه جعلی بروزرسانی ویندوز ایجاد فایل - [Executable_Path]\WindowsUpdate.exe bat برای پاک کردن فایل اصلی باج افزار [Executable_Path]\update.bat off del fantom.exe del %0 11

12 2-9 تغییرات رجیستری این باج افزار با استفاد از کلید های رجیستری Task Manager را غیر فعال می کند HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System "DisableTaskMgr" = 1 همچنین تصویر پس زمینه را نیز تغییر می دهد: HKCU\Control Panel\Desktop\ "Wallpaper" "%UserProfile%\How to decrypt your files.jpg" 3-9 ارتباط با C&C این باج افزار برای ارتباط با سرور C&C خود از آدرس های زیر استفاده می کند: عملیات رمزنگاری عملیلت رمز نگاری این باج افزار دقیقا مانند سایر باج افزار های بر پایه ی EDA2 تصادفی AES-128 است این باج افزار یک کلید درست می کند با استفاده از RSA آن را رمز نگاری به سرور C&C توسعه دهندگان بدافزار می فرستد. سپس این باج افزار شروع به گشتن درایو های محلی برای پیدا کردن فایل هایی که مورد هدف هستند کرده و آن ها را با استفاده از روش AES-128 نگاری می کند به فایل پسوند.fantom اضافه می کند. برای مثال رمز نگاری می کند. وقتی این باج افزار فایلی را رمز apple.jpg.fantom به apple.jpg تبدیل می شود. در هر پوشه ای که عملیات رمزنگاری صورت بگیرد یک نوشتهی باج خواهی با نام DECRYPT_YOUR_FILES.HTML هم تولید می شود. 12

13 کد داخلی Fantom که به زبان سی شارپ نوشته شده است شامل توابع زیر است: extractresource(string embeddedfilename, string destinationpath) GetInt(RNGCryptoServiceProvider rnd, int max) CreatePassword(int length) RandomRansom(int length) AES_Encrypt(byte[] bytestobeencrypted, byte[] passwordbytes) KillCtrlAltDelete() RSAEncrypt(byte[] data, int keysize, string publickeyxml) SelfDeleteWinupdate() SelfDelete() DelBack() فایل صفحه ساختگی باج افزار تابع Update ویندوز به صورت رمز شده درون resource extractresource عملیات استخراج فایل مربوطه را انجام می دهد. فایل اصلی وجود دارد. پس از اجرای عملیات غیر فعال سازی TaskManager که از طریق دستکاری رجیستری صورت می گیرد توسط تابع KillCtrlAltDelete انجام می پذیرد. 13

14 توابع و SelfDelete ویندوز نوشته شده اند. SelfDeleteWinupdate برای حذف فایل باج افزار و فایل صفحه ساختگی بروزرسانی کد این توابع در شکل زیر قابل مشاهده است: توسط توابع AES_Encrypt عملیات رمزنگاری توسط توابع و RSAEncrypt عملیات رمزنگاری انجام می شود. کلید های مورد نیاز برای RandomRansom و CreatePassword وقتی Fantom دهد )اگر کاربر ایجاد می شود. کار دستکاری کردن فایل های کاربر را تمام کرد یک پنجره ی دیالوگ به شکل زیر نمایش می Administrator نباشد(: 14

15 اگر کاربر به اسکریپت کرده است: delback.bat که در باال ذکر شده اجازه ی اجرا شدن دهد در واقع دستورات زیر را وارد vssadmin delete shadows /all /quiet این دستور نسخه های پشتیبان فایل ها را روی دیسک حذف می کند. این اسکریپت توسط تابع واقع در کد اصلی باج افزار تولید می شود. در آخر هم باج افزار یک فایل نوشته ی باج خواهی با عنوان DelBack DECRYPT_YOUR_FILES.HTML را به کاربر نشان می دهد که شامل ID قربانی بوده و راه هایی برای برگرداندن اطالعات قربانی به او پیشنهاد می دهد. اگر تصاویر باج خواهی سایر باج افزار ها را دیده باشید می دانید که در این مرحله معموال چیزی شبیه به حالت های زیر را میبینید: پولی که باید پرداخت کنید باید از طریق یک آدرس ناشناخته ی Bit Coin Tor پرداخت شود. )onion( برای برقراری تماس با کالهبرداران وجود دارد. - - بر خالف باج افزارهای دیگر که یک شماره حساب بیتکوین و یک آدرس در شبکه برای ارتباط با Tor کالهبرداران می دهند Fantom فقط از قربانی می خواهد که با یکی از دو آدرس ایمیل رایگان برای گرفتن دستورات بعدی ارتباط برقرار کند. این موضوع به این معنی است که عامالن می توانند به راحتی ردیابی و دستگیر شوند. 15

16 در نهایت باج افزار یک فایل عکس را دانلود کرده و آن را در آدرس %UserProfile%\2d5s8g4ed.jpg ذخیره می کند. این عکس از آدرس زیر دانلود شده که ممکن است درباره ی هویت توسعه دهنده ی باج افزار اطالعاتی دهد: عکس دانلود شده به شکل زیر می باشد و به عنوان تصویر پس زمینه ی کاربر استفاده می شود. 11 جمع بندی باج افزار Fantom یک باج افزار جدید است که بر پایه ی پروژه ی باج افزار متن باز EDA2 می باشد و اقدام به رمزنگاری فایل های کاربر می کند. این باج افزار از یک صفحه ی به روز رسانی تقلبی ویندوز تحت عنوان اینکه ویندوز در حال نصب به روز رسانی های حیاتی می باشد استفاده می کند. این باج افزار صفحه ی به روز رسانی ویندوز تقلبی را به کاربر نشان می دهد ولی در پشت زمینه در حال رمزنگاری فایل های قربانی می باشد. متاسفانه در حال حاضر هیچ راهی برای رمز گشایی کردن فایل های رمز شده با باج افزار Fantom وجود ندارد. 16

17 11 منابع