Εμφάνιση αναρτήσεων με ετικέτα Gandcrab. Εμφάνιση όλων των αναρτήσεων
Εμφάνιση αναρτήσεων με ετικέτα Gandcrab. Εμφάνιση όλων των αναρτήσεων

Δευτέρα, 18 Μαρτίου 2019

Τα νέα των Ransomware, 18/3/19

Εκεί που είχε ηρεμήσει για λίγο, ο STOP επανεμφανίστηκε με 5 6 7 8 διαφορετικά στελέχη, μέσα σε μία εβδομάδα και μάλιστα χρησιμοποιώντας ακόμα πιο επιθετικές τακτικές.

Είχαμε επίσης λύση για τον BigBobRoss (δεν έχουμε δει, πάντως,θύματα στην Ελλάδα ακόμα) και πολλές νέες παραλλαγές από γνωστά στελέχη.
Κάθε φορά που κάποιος μας λέει ότι το Ransomware πέθανε ένα Blockchain κάπου στην Κορέα γελάει ηχηρά. 


Ας τα δούμε αναλυτικά:

O Hermes χτυπάει το Jackson County της Georgia, παίρνει $400.000!

Στις 6/3/2019, ο Hermes με ... ολίγη από Ryuk (επρόκειτο για στέλεχος που ήταν μείγμα των δύο) χτύπησε το Jackson County στην Georgia των ΗΠΑ, γονατίζοντας στην κυριολεξία όλες τις υπηρεσίες της πόλης.
Από σχετική ανακοίνωση, φαίνεται ότι οι υπεύθυνοι αποφάσισαν και πλήρωσαν τα λύτρα, τα οποία ανέρχονται σε $400.000. 





O STOP εγκαθιστά και Trojan με σκοπό την υποκλοπή προσωπικών στοιχείων

Πέρα από τα 10 νέα στελέχη STOP που είχαμε αυτήν την εβδομάδα (βλ. παρακάτω), διαπιστώσαμε ανησυχία ότι ο STOP πλέον εγκαθιστά και τον Azorult, ο οποίος είναι ένα Trojan το οποίο υποκλέπτει από το θύμα προσωπικά στοιχεία, όπως κωδικούς πρόσβασης, ιστορικό περιήγησης, συνομιλίες στο Skype, πορτοφόλια κρυπτονομισμάτων, αρχεία xls και άλλα πολλά.  


Μιας και είναι αδύνατον να γνωρίζουμε από πότε συμβαίνει αυτό, παρακαλούμε όλα τα θύματα του STOP (οποιαδήποτε έκδοση, οποιοδήποτε στέλεχος/οικογένεια) να πάρουν ΑΜΕΣΑ τα παρακάτω μέτρα:

  • Αλλαγή ΟΛΩΝ των κωδικών πρόσβασης για όλους τους online λογαριασμούς καθώς και τους κωδικούς του Η/Υ αν υπάρχουν. ΟΛΟΙ οι κωδικοί που αποθηκεύονται από το πρόγραμμα περιήγησης, θα πρέπει να θεωρούνται εκτεθειμένοι.
  • Αλλαγή όλων των κωδικών πρόσβασης για λογισμικά όπως το Skype, το Telegram το Steam κλπ.
  • Αλλαγή όλων των κωδικών πρόσβασης για τυχόν λογισμικά FTP (Filezilla κλπ).
  • Αρχεία με ευαίσθητα προσωπικά δεδομένα που βρίσκονται στην επιφάνεια εργασίας ή αλλού, θα πρέπει να θεωρούνται εκτεθειμένα. Αν υπήρχαν αρχεία που περιλαμβάνουν κωδικούς πρόσβασης, θα πρέπει να αλλαχτούν άμεσα.


Λύση για τον BigBobRoss

Αν και δεν είχαμε αναφορά θυμάτων στην Ελλάδα από τον συγκεκριμένο Ransomware, πλέον υπάρχει λύση. Η Emsisoft ανακοίνωσε την εξεύρεση λύσης και λίγο αργότερα ακολούθησε και η Avast. Το Ransom Note του εν λόγω Ransomware είναι αυτό:


Αν κάποιος έχει μολυνθεί, ας επικοινωνήσει με την Emsisoft ή μαζί μας.

Νέοι STOP

O STOP, που θεωρείται ίσως ο πιο δραστήριος Ransomware των τελευταίων μηνών, με πολλά θύματα και στην Ελλάδα, μας είχε συνηθίσει να εμφανίζει ένα τουλάχιστον νέο στέλεχος ανά εβδομάδα.
Τις προηγούμενες 20 μέρες υπήρχε μια ησυχία, αλλά μάλλον ήταν η ησυχία πριν την καταιγίδα. Την εβδομάδα που μας πέρασε, πλησίασε τα 10 νέα στελέχη.

Με τη σειρά:
Επέκταση .promorad2 με προέλευση / στοχεύει: Βραζιλία.
Επέκταση .kroput ομοίως με από πάνω.
Πρόκειται για την οικογένεια DJVU.


Επέκταση .kroput1, .pulsar1 και .charck, επίσης της οικογένειας DJVU.

Επέκταση .kropun και .klope της οικογένειας ZzZzZ.

Επέκταση .lastrop της οικογένειας Gilette.

Να και ένας Dharma

Toποθετεί την επέκταση .NWA.


Καπάκι και ένας ακόμα, το κακόβουλο έχει  την ομομασία payload.exe και τοποθετεί την επέκταση .azero.

Kαι τρικάπακο, και ένας τρίτος που τοποθετεί την επέκταση .com.

Ο Yatron προμοτάρεται ως RaaS

Ένας νέος RaaS (Ransomware-As-A-Service) προμοτάρεται μέχρι και μέσω Twitter (!) ότι χρησιμοποιεί το EternalBlue της NSA για να διασπείρει τον εαυτό του μέσω δικτύου. Ισχυρίζεται ότι διαγράφει επιτυχώς αρχεία μετά από x χρόνο αν δεν καταβληθούν τα  λύτρα.
Είναι ανησυχητικό, καθώς από ότι είδαμε, κάνει αυτά που υπόσχεται.




Κυριακή, 3 Μαρτίου 2019

Τα νέα των Ransomware, 4/3/2019

Πολλά και διάφορα είχαμε το διάστημα που μεσολάβησε από την προηγούμενη αναφορά μας.
Είχαμε λύση για τον GandCrab, είχαμε έναν Ransomware που στοχεύει servers που τρέχουν Linux/PHP, είχαμε και πάρα πολλά νέα στελέχη.

Ας τα δούμε αναλυτικά:

Νέος Jigsaw - DeltaSEC

Αυτός δεν κρυπτογραφεί καν, καθώς περιέχει προβληματικό base64 string...




Νέος Scarab

Toποθετεί την επέκταση .X3.  

Λύση για τον GandCrab

Στα τέλεια νέα, η λύση για τον GandCrab που δημοσίευσε η BitDefender σε συνεργασία με τη Europol.
Την αμέσως επόμενη μέρα, κυκλοφόρησε νέα έκδοση η οποία προς το παρόν δεν είναι δυνατόν να σπάσει.



Νέος GarrantyDecrypt

Ένα νέο στέλεχος του GarrantyDecrypt εντοπίστηκε, το οποίο παριστάνει ότι προέρχεται από την ομάδα ασφαλείας της ProtonMail.
Επιβεβαιώσαμε ότι πρόκειται για τον GarrantyDecrypt από το "NANI" signature στα κρυπτογραφημένα αρχεία.




Νέος Everbe2 - SEED

Εντοπίστηκε και νέος Everbe2.0 που τοποθετεί την επέκταση .seed.
Ταυτοποιήσαμε ότι πρόκειται για τον Everbe από τα τελευταία 0x200 bytes που έχουν ASCII στο Hex.





Νέα στελέχη

Ο Michael Gillespie εντόπισε:
Τον BlackPink που είναι κορεάτικος


τον BestChangeRu που είναι ρώσικος


τον Crazy Thief 2.1 που είναι μια μίξη του Stupid, του Jigsaw και βασίζεται σε HiddenTear
(thief όνομα και πράγμα δηλαδή). Φυσικά, είναι δυνατόν να αποκρυπτογραφηθεί.


έναν νέο Matrix που τοποθετεί την επέκταση .GBLOCK
και έναν νέο Dharma που τοποθετεί την επέκταση .aqva.

Δευτέρα, 18 Φεβρουαρίου 2019

Τα νέα των Ransomware, 18/02/2019

Πάντα χαιρόμαστε όταν βλέπουμε εβδομάδες σαν την προηγούμενη στον τομέα των Ransomware, καθώς δεν είχαμε και πολλά πράγματα.

Το πιο ενδιαφέρον νέο της εβδομάδας ήταν η απόπειρα μόλυνσης MSPs με GandCrab, η οποία απ 'ότι φαίνεται ήταν επιτυχής :(

Κλασικά, νέα στελέχη Dharma, Matrix...


Ας τα δούμε αναλυτικά:

Νέοι Dharma

2 νέα στελέχη και για αυτήν την εβδομάδα, τοποθετούν τις επεκτάσεις .KARLS και .888.
Τίποτα καινούργιο ως συνήθως.


Κόμικ για Ransomware!


O Christian Beek σε συνεργασία με την Hackerstrip δημιούργησε ένα κόμικ για τους Ransomware!
Κοστίζει περίπου 2€ για Kindle και όλα τα έσοδα πηγαίνουν για καλό σκοπό.
Μπορείτε να το βρείτε εδώ



Νέοι Matrix

O Michael Gillespie εντόπισε ένα άλλο ένα νέο στέλεχος του Matrix που τοποθετεί την επέκταση .PEDANT. Αργότερα εντοπίστηκε και άλλο στέλεχος που τοποθετεί την επέκταση .PLANT. O Matrix εξακολουθεί να είναι ένας Ransomware για τον οποίο δυστυχώς δεν υπάρχει λύση.


Νέος Ransomware - Encrypted5

Ένα περίεργο στέλεχος ανιχνεύθηκε την Παρασκευή, το οποίο τοποθετεί την επέκταση .Encrypted5. Και είναι περίεργο γιατί μοιάζει να έχει εντοπιστεί μόλις μία επιμόλυνση παγκοσμίως και επομένως δεν έχουμε καθόλου πληροφορίες για το τι είναι και τι κάνει.



Ο GandCrab μολύνει MSPs 

Οι RW developers έχουν αρχίσει να στοχεύουν Managed Service Providers (MSPs) με σκοπό να προκαλέσουν μαζική μόλυνση με μία μόνο επίθεση.
Οι MSPs είναι εταιρίες που διαχειρίζονται απομακρυσμένα την τεχνολογική υποδομή εταιριών (πραγματοποιώντας για παράδειγμα συντήρηση κάποιου δικτύου ή Η/Υ απομακρυσμένα).
Σύμφωνα με δημοσιεύμα, μία μεσαία MSP δέχτηκε επίθεση και περισσότεροι από 80 πελάτες της μολύνθηκαν.




Νέος Ransomware - Snatch

Toποθετεί την επέκταση .jupstb



Σάββατο, 9 Φεβρουαρίου 2019

Ransomware "κατεβαίνει" μέσω των pixel μιας εικόνας!

Ransomware "κατεβαίνει" μέσω των pixel μιας εικόνας!



Εντοπίστηκε κακόβουλο αρχείο Excel το οποίο δημιουργεί εντολή Powershell από τα Pixels μια εικόνας του Mario από το Super Mario Bros.

Η τεχνική λέγεται στεγανογραφία και δεν είναι καινούργια, όμως τώρα εμφανίστηκε πιο εξελιγμένη και με κακές διαθέσεις. Πολύ κακές.

Η επίθεση που εντοπίστηκε, εστίαζε αποκλειστικά και μόνο σε Ιταλούς.
Προσποιείται πως πρόκειται -κλασικά- για ειδοποίηση πληρωμής.
Το παγιδευμένο επισυναπτόμενο έχει τίτλο F.DOC.2019 A 259 SPA.xls ή παραπλήσιο.


Αν κανείς το ανοίξει, το αρχείο ζητάει την ενεργοποίηση των μακροεντολών. Κάτι που δεν θα πρέπει να κάνετε ΠΟΤΕ, εκτός αν είστε 10000000% σίγουροι για το τι ακριβώς κάνετε


Μόλις γίνει η ενεργοποίηση των μακροεντολών, αυτές τσεκάρουν τη χώρα πρόελευσης του θύματος, και αν δεν είναι η Ιταλία, τότε το φύλλο θα κλείσει χωρίς να συμβεί τίποτα.


Αν η χώρα προέλευσης είναι η Ιταλία, κατεβαίνει αυτή η εικόνα:


(Φυσικά, την έχουμε τροποποιήσει για να μην μπορεί να χρησιμοποιηθεί πλέον κακόβουλα)

Μόλις η εικόνα κατέβει, το σκριπτάκι θα εξαγάγει διάφορα pixels από την εικόνα προκειμένου να κατασκευάσει εντολή Powershell, την οποία στη συνέχεια εκτελεί.
Αυτή με τη σειρά της θα κατεβάσει και θα εκτελέσει κακόβουλο λογισμικό το οποίο με τη σειρά του κατεβάζει και εγκαθιστά GandCrab 5.1. 



Διαβάστε αναλυτικά τον τρόπο που αυτό είναι δυνατό μέσω της Στεγανογραφίας, σε μία εξαιρετική ανάλυση από την Bromium.

Περιττό να επαναλάβουμε, μην ανοίγετε επισυναπτόμενα από αγνώστους και πάντα επαληθεύετε ότι το αρχείο προοριζόταν για εσας. 


Ο GandCrab και οι μεσάζοντες

O GandCrab ταίζει τους "μεσίτες"

Η ανάκτηση δεδομένων είναι μία επιστήμη, η οποία είναι ιδιαίτερα πολύπλοκη. Εκείνος ο οποίος την εφαρμόζει, θα πρέπει να διακατέχεται -μεταξύ άλλων- από τιμιότητα. 

Υπάρχουν κάποια παραδείγματα που ντροπιάζουν την επιστήμη μας και το χώρο μας.

Ένα τέτοιο, είναι οι "μεσολαβητές" που εμφανίστηκαν ξαφνικά και αναλαμβάνουν την επικοινωνία με τους κακοποιούς προκειμένου να εξασφαλίσουν την ομαλή διεξαγωγή της δοσοληψίας των λύτρων.

Πριν από οτιδήποτε άλλο, να πούμε για άλλη μία φορά ότι τα θύματα δεν θα πρέπει να πληρώνουν τα λύτρα για πολλούς λόγους: Καταρχήν, έρχεστε σε διαπραγμάτευση με ανθρώπους τους οποίους αναζητά το FBI και κατά δεύτερον διαιωνίζεται έτσι μία κατάσταση, η οποία όσο ανθεί, θα επεκτείνεται. Φυσικά, όταν πρόκειται για επαγγελματικά / εταιρικά δεδομένα και δεν υπάρχουν αντίγραφα, είναι λογικό να μπουν κάποιοι στη διαδικασία να πληρώσουν για να συνεχίσει να υφίσταται η εργασία τους.

Μετά από αυτό το politically correct statement, περνάμε στο δια ταύτα:

Οι δημιουργοί του GandCrab, για να μην κουράζονται, αυτοματοποίησαν τη διαδικασία της μίζας των μεσολαβητών, με εκπτωτικά κουπόνια (!). Αν πάει κανείς στο TOR site τους, υπάρχει επιλογή της κρυφής συνομιλίας με τους κακοποιούς, καθώς και απευθείας εφαρμογή του εκπτωτικού κουπονιού.

Ας υποθέσουμε, λοιπόν, ότι έχετε μολυνθεί με τον GandCrab 5.1, δεν έχετε αντίγραφα ασφαλείας και αποφασίζετε να πληρώσετε τα λύτρα. 
Τα λύτρα είναι συνήθως $3000.
Απευθύνεστε σε μεσάζοντα για να σας εγγυηθεί ότι θα πάρετε πίσω τα δεδομένα σας. Ο μεσάζοντας σας ζητάει $500 για αυτήν την εργασία.
Συμφωνείτε αλλά του ζητάτε αντίγραφο των συνομιλιών, όπως θα έκανε κάθε εχέφρων άνθρωπος.

Ο μεσάζοντας μπαίνει στο TOR site του GandCrab, και ενώ συνομιλεί με τους κακοποιούς, πατάει SHIFT+CTRL+2. Του εμφανίζεται το εικονίδιο για την κρυφή συνομιλία, το ανοίγει, και πατώντας SHIFT+CTRL+1 βάζει το κουπόνι που του έχουν δώσει και παίρνει την έκπτωσή του και δεν φαίνεται πουθενά ούτε η συνομιλία, ούτε η έκπτωση.
Δείτε:



H έκπτωση φτάνει τα $1000 και αν ο μεσάζοντας είναι καλός "πελάτης" των κακοποιών, μπορεί και να τα ξεπερνάει.

Επομένως, εσείς πληρώνετε $3000 για τα λύτρα + $500 για τα μεσιτικά, ενώ στην πραγματικότητα οι κακοποιοί πληρώνονται $2500 και $1500 παίρνει ο μεσίτης.
Τίμιο. #not.

Θυμίζουμε τα εξής:

  • Ο GandCrab είναι ο πλέον πολυδιάστατος Ransomware που κυκλοφορεί. Εννοούμε ότι τον έχουμε δει να διασπείρεται με κάθε πιθανό τρόπο, από malspam μέχρι exploit kits και από σπασμένα λογισμικά μέχρι brute force σε Remote Desktop.
  • Προστατευτείτε από τους Ransomware: Έχετε Backup. Αν έχετε backup, τα Ransomware δεν σας αφορούν. Είναι τόσο απλό. Εγκαταστήστε ΚΑΛΑ λογισμικά προστασίας, μην επαναπαύεστε στα δωρεάν. Πλέον τα αντιβιωτικά είναι σχετικά φθηνά και αξίζουν τα χρήματά τους 100%. Διαβάστε και εφαρμόστε τον όδηγo επιβίωσης ενάντια στους Ransomware.

Τα νέα των Ransomware, 9/2/19

Eνδιαφέρουσα εβδομάδα!

Πρώτον, είχαμε αποκάλυψη στην πράξη για τον τρόπο που επιτήδειοι που παριστάνουν τους ειδήμονες "διαμεσολαβητές", εισπράττουν μερίδιο από τα λύτρα.

Δεύτερον, είχαμε ανησυχητικό κρούσμα στεγανογραφίας, η οποία είναι μέθοδος διασποράς κακόβουλου λογισμικού που είναι σχεδόν αδύνατον να ανιχνευθούν από οποιοδήποτε λογισμικό.


Τέλος, είχαμε κλασικά νέα στελέχη Dharma, Jigsaw και φυσικά STOP, ο οποίος θερίζει για 5η συνεχόμενη εβδομάδα.

Ας τα δούμε αναλυτικά:


Νέοι Dharma

2 νέα στελέχη, τοποθετούν τις επεκτάσεις .amber και .friend.
Τίποτα καινούργιο.


Νέος Jigsaw - LOLSEC

O Michael Gillespie εντόπισε ένα νέο στέλεχος του Jigsaw που τοποθετεί την επέκταση .paycoin. 



Νέος STOP - Blower

Χωρίς πολλές διαφορές με τους προηγούμενους, έχει πολλά θύματα και στην Ελλάδα...




Κι άλλος Jigsaw

Toποθετεί την επέκταση .PENNYWISE. Προσπαθεί να μας πει ότι δεν είναι Jigsaw, ενώ φυσικά και είναι.

Το κλειδί για την αποκρυπτογράφηση είναι PsTqQNhR77oKJXvBWE3YZc. 
Αν έχετε μολυνθεί, χρησιμοποιήστε τον παραπάνω κωδικό για να πάρετε πίσω τα αρχεία σας, και πείτε μας και ένα ευχαριστώ :)




Νέος Ransomware - Crypted Pony

Είναι υπό κατασκευή, τοποθετεί την επέκταση .crypted_pony_test_build_xxx_xxx_xxx_xxx_xxx

Τρίτη, 29 Ιανουαρίου 2019

Προσοχή με τον GandCrab 5.1

ΟΙ ΕΞΟΔΟΙ ΚΙΝΔΥΝΟΥ ΚΡΥΒΟΥΝ ΜΠΕΛΑΔΕΣ...


O GandCrab 5.1 διασπείρεται με νέα καμπάνια malspam, η οποία προωθείται από τον ίδιο server ο οποίος μέχρι πρόσφατα προωθούσε το Ursnif banking trojan.

Δείτε πως λειτουργεί η καμπάνια.

Το υποψήφιο θύμα λαμβάνει ένα email το οποίο έχει επισυναπτόμενο ένα παγιδευμένο αρχείο Word. 
Το email έχει ως αποστολέα κάποια Rosie L. Ashton και θέμα "Up to date emergency exit map" και υποτίθεται ότι περιέχει τα σχέδια του κτιρίου του θύματος με τις εξόδους κινδύνου.




Αν ανοίξουμε το επισυναπτόμενο βλέπουμε αυτό:

δηλαδή μόνο τις λέξεις Emergency exit map και την προειδοποίηση ότι οι μακροεντολές είναι απενεργοποιημένες, με την προτροπή να τις ενεργοποιήσουμε.

Αν ενεργοποιήσουμε τις μακροεντολές, (ΚΑΤΙ ΠΟΥ ΔΕΝ ΘΑ ΠΡΕΠΕΙ ΠΟΤΕ ΝΑ ΚΑΝΕΤΕ, ΙΔΙΩΣ ΑΝ ΔΕΝ ΕΙΣΤΕ 10000% ΣΙΓΟΥΡΟΙ ΓΙΑ ΤΟ ΠΕΡΙΕΧΟΜΕΝΟ ΤΟΥ ΑΡΧΕΙΟΥ ΚΑΙ 1000000% ΣΙΓΟΥΡΟΙ ΓΙΑ ΤΟ ΤΙ ΚΑΝΕΤΕ)

τότε θα εκτελεστεί ένα powershell script το οποίο κατεβάζει και εγκαθιστά τον GandCrab 5.1.

Το σκριπτάκι είναι κωδικοποιημένο, έτσι ώστε να μην εξαρχής σαφές για το τι κάνει:




Αν το αποκωδικοποιήσουμε, θα δούμε ότι κατεβάζει ένα αρχείο που λέγεται putty.exe (που φυσικά δεν έχει καμία σχέση με το γνωστό putty) από τη διεύθυνση http://cameraista.com/olalala/putty.exe, το σώζει στο C:\Windows\temp\putty.exe και το εκτελεί:



Όταν εκτελεστεί το putty.exe, θα κρυπτογραφήσει όλα τα αρχεία του υπολογιστή:



και αφήνει σε κάθε φάκελο το αντίστοιχο Ransom Note



Δυστυχώς, δεν είναι δυνατή η αποκρυπτογράφηση του GandCrab 5.1.
Θα επαναλάβουμε πώς δεν πρέπει να ανοίγετε επισυναπτόμενα εκτός αν επιβεβαιώσετε ότι το email προοριζόταν για εσας ακόμα και αν ο αποστολέας είναι γνωστός σας, καθώς μπορεί να έχει μολυνθεί ή να πρόκειται για spoof.
Έχετε εγκατεστημένο και ανανεωμένο κάποιο καλό λογισμικό antivirus.

Διαβάστε τον οδηγό μας για την πρόληψη των Ransomware: https://northwind-data-recovery.blogspot.com/2017/03/odigos-apofigis-ransomware.html



Ευχαριστούμε την BleepingComputer για την παροχή υλικού.

Δευτέρα, 10 Δεκεμβρίου 2018

Τα νέα των Ransomware, 10/12/2018

Με μεγάλο ενδιαφέρον παρακολουθούμε τις εξελίξεις γύρω από το θόρυβο που έχει ξεσπάσει σχετικά με τους απατεώνες που ισχυρίζονται ότι μπορούν να λύσουν διάφορα στελέχη Ransomware όπως ο Dharma και απλώς έρχονται σε επικοινωνία με τους κακοποιούς/δημιουργούς του κακόβουλου λογισμικού και εισπράττουν την μεσιτεία.
Μόνο που, μετά και από επικοινωνία που είχαμε με τη Δίωξη Ηλεκτρονικού Εγκλήματος, κάτι τέτοιο είναι παράνομο και διώκεται ποινικά.

Φαίνεται, μάλιστα, ότι κάποιο πουλάκι κάνει tweet, αφού τα εντόπια πουλιά αλλάξαν τα κείμενά τους και τώρα παρουσιάζονται ως ειδήμονες. 

Κατά τ' άλλα, ένας κακογραμμένος Ransomware προκάλεσε χάος στην Κίνα, μολύνοντας περισσότερους από 100.000 Η/Υ. Ο δημιουργός του συνελήφθη μετά από λίγες ημέρες και ο Ransomware αποκρυπτογραφήθηκε επιτυχώς. 

Ας τα δούμε αναλυτικά:

Νέοι Dharma

Το πρώτο στέλεχος εμφανίστηκε πριν από μία εβδομάδα ακριβώς και τοποθετεί την επέκταση .RISK.

Το δεύτερο, την Πέμπτη και τοποθετεί την επέκταση .bkpx.

Δεν υπάρχει κάτι καινούργιο, πρόκειται απλά για άλλα δύο μέλη της (τεράστιας, πλέον) οικογένειας των Dharma.


YΠΕΝΘΥΜΙΖΟΥΜΕ,

ΔΕΝ ΥΠΑΡΧΕΙ ΛΥΣΗ ΣΤΟΝ DHARMA ΧΩΡΙΣ ΤΟ MASTER KEY ΤΩΝ ΔΗΜΙΟΥΡΓΩΝ ΤΟΥ, οπότε μη πέσετε θύμα κι άλλης απάτης.

Οι προοπτικές που έχετε αυτή τη στιγμή είναι οι εξής:

1) Αν έχετε τον επιμολυσμένο δίσκο μπορούμε να αποπειραθούμε να ανακτήσουμε έγγραφα και φωτογραφίες, αλλά δεν πρόκειται για ολοκληρωμένη λύση. 
2) Να κρατήσετε αντίγραφα των δεδομένων και να περιμένετε έως ότου βρούμε λύση. Δυστυχώς δεν είμαστε σε θέση να γνωρίζουμε αν και πότε θα γίνει αυτό, μιας και ως ένα σημείο εξαρτάται και από τους ίδιους τους developers του Ransomware.

Θα πρέπει, τέλος, να γνωρίζετε, ότι ακόμα και αν αποφασίσετε να ενδώσετε και να πληρώσετε τα λύτρα που ζητάνε, δεν σας εξασφαλίζει κανείς ότι θα τηρήσουν το μέρος της συμφωνίας τους, καθώς πρακτικά έρχεστε σε επικοινωνία με κακοποιούς τους οποίους αναζητά το FBI.

Εταιρία παριστάνει ότι κάνει πολλά, κάνει λίγα, βρίσκει μπελά

Ούτε και θα πρέπει να πέσετε στην παγίδα και να εμπιστευτείτε εταιρίες που παριστάνουν ότι μπορούν να αποκρυπτογραφήσουν ό,τι κινείται στην αγορά, καθώς θα πέσετε θύμα και δεύτερης απάτης και θα πλουτίσετε τους επιτήδειους.

Μια τέτοια "εταιρία" στη Ρωσία σύμφωνα με την Check Point, η οποία ονομάζεται Dr. Shifro παριστάνει πως έχει λύσεις για τον Dharma (και άλλους, άλυτους Ransomware), ενώ στην πραγματικότητα έκανε τον μεσολαβητή και εισέπραττε την διαφορά.

Το θέμα πήρε μεγάλες διαστάσεις, κάτι που μας κάνει εντύπωση, αφού ήταν/είναι πάγια τακτική ακόμα και δικών μας εγχώριων "ειδημόνων" που δεν έχουν κάνει Reverse Engineering στη ζωή τους.

Διώξεις και για τον SamSam

Eίχαμε αναφερθεί στο παρελθόν για το χτύπημα στην Ατλάντα των ΗΠΑ τον Μάρτιο του 2018 με Ransomware, επίθεση που είχε προκαλέσει χάος.

Είχαμε αναφερθεί και την προηγούμενη εβδομάδα για τον SamSam και τις ποινικές διώξεις που ασκήθηκαν εναντίον δύο Ιρανών με κατηγορία εμπλοκής τους στην δημιουργία και διασπορά του εν λόγω Ransomware.

Τώρα, διαβάζουμε:
A federal grand jury in Atlanta has returned an indictment charging Faramarz Shahi Savandi and Mohammed Mehdi Shah Mansouri with committing a sophisticated ransomware attack on the City of Atlanta in March 2018 in violation of the Computer Fraud and Abuse Act.

Χάος στην Κίνα με τον UNNAMED1989

Περισσότεροι από 100.000 Η/Υ μολύνθηκαν από έναν κυριολεκτικά αστείο Ransomware, ο οποίος ονομάζεται UNNAMED1989.


Είναι αστείο, γιατί παρά τον τόσο αγώνα που δίνεται καθημερινά από εταιρίες CyberSecurity προκειμένου να μπει τέλος στους Ransomware, τελικά ακόμα και ένας κακογραμμένος Ransomware μπορεί να προκαλέσει χάος.
Ο εν λόγω, ζητούσε πληρωμή μέσω WeChat (!). Εικάζεται ότι ο δημιουργός του χρησιμοποιούσε ένα μέσο κοινωνικής δικτύωσης της Κίνας με την επωνυμία Douban προκειμένου να δελεάσει τα θύματά του προκειμένου να χρησιμοποιήσουν μία δημοφιλή εφαρμογή μέσω της οποίας μπορεί κάποιος να χρησιμοποιεί περισσότερους από έναν λογαριασμούς κοινωνικής δικτύωσης ταυτόχρονα. Μόνο που, η εφαρμογή ήταν παγιδευμένη.
Σε έρευνα που έγινε, βρέθηκαν περισσότεροι από 20.000 κωδικοί λογαριασμών από εφαρμογές δημοφιλείς στην Κίνα όπως το Baidu, το QQ, το Alipay κλπ.

Λίγες μόνο ώρες μετά την κυκλοφορία του, κυκλοφόρησε εφαρμογή αποκρυπτογράφησης από την Tencent και την Velvet, ενώ ο δημιουργός του εντοπίστηκε αφού είχε δηλώσει στην καταχώρηση της εφαρμογής το όνομά του, το τηλέφωνό του και τη διεύθυνσή του (...). Εδώ που τα λέμε δεν άφησε και τίποτα στη φαντασία...
Φυσικά, συνελήφθη από τις αρχές.

Νέος Ransomware - Israbye

Τίποτα το ιδιαίτερο.
Δείτε τον εδώ σε δράση σε ένα βίντεο της Cyber Security.


Δευτέρα, 12 Νοεμβρίου 2018

Τα νέα των Ransomware, 10/11/2018

Έχουμε γράψει εδώ κι εδώ κι εδώ κι εδώ κι εδώ για τους απατεώνες που ισχυρίζονται ότι μπορούν να επιλύσουν τον Dharma. Μάλλιασε η γλώσσα μας να λέμε ότι είναι απατεώνες και μην τους εμπιστεύεστε.

Ως τώρα επρόκειτο για τυχοδιώκτες οι οποίοι κρύβονταν πίσω από ένα email, ή στην χειρότερη περίπτωση εταιρίες - "φωτοβολίδες" όπως τις ονομάζουμε (αφού εμφανίζονται και εξαφανίζονται μέσα σε μία νύχτα) του εξωτερικού.


Με μεγάλη μας λύπη διαπιστώνουμε ότι η λαίλαπα εξαπλώθηκε και στη χώρα μας με "κάποιους" να ισχυρίζονται ότι μπορούν να λύσουν τον Dharma και μάλιστα με ... εξπρες διαδικασίες και προνομιακό κόστος, 3000-6000 ευρώ (...) (!!!!).


Γελάμε και κλαίμε ταυτόχρονα.

Για πάμε όλοι μαζί:

ΧΑΟΣ ΜΕ ΤΟΝ DHARMA -- ΠΡΟΣΟΧΗ ΣΤΟΥΣ ΑΠΑΤΕΩΝΕΣ



Σε τεράστια έξαρση βρίσκεται εδώ και περίπου 3 μήνες, ο οποίος θυμίζουμε ότι μετατρέπει τα αρχεία σύμφωνα με αυτόν τον κανόνα:
filename.[<email>].wallet/.bip/.cmb/.arena/.cezar/.brr (έχουν προστεθεί δεκάδες άλλα)

Θυμίζουμε επίσης ότι ο συγκεκριμένος Ransomware ΔΕΝ έχει λύση. Δεν υπάρχει από πουθενά κάποια αδυναμία που να μπορούμε να εκμεταλλευτούμε για να τον σπάσουμε και αυτό το υπογράφουμε. 

Τον τελευταίο καιρό, έχουν βγει στην πιάτσα διάφοροι απατεώνες που διατείνονται ότι έχουν λύση για τον Dharma.

Μην πιστεύετε τους απατεώνες. Όποιος δηλώνει ότι έχει λύση για τον Dharma bip/arena/cmb/wallet, είτε έχει μιλήσει με τους δημιουργούς του Dharma και έχει πάρει έκπτωση, έτσι ώστε να κερδίσει τη διαφορά, είτε είναι ο ίδιος ο δημιουργός του Dharma.

ΔΕΝ ΥΠΑΡΧΕΙ ΛΥΣΗ ΣΤΟΝ DHARMA ΧΩΡΙΣ ΤΟ MASTER KEY ΤΩΝ ΔΗΜΙΟΥΡΓΩΝ ΤΟΥ, οπότε μη πέσετε θύμα κι άλλης απάτης.

Οι προοπτικές που έχετε αυτή τη στιγμή είναι οι εξής:

1) Αν έχετε τον επιμολυσμένο δίσκο μπορούμε να αποπειραθούμε να ανακτήσουμε έγγραφα και φωτογραφίες, αλλά δεν πρόκειται για ολοκληρωμένη λύση. 
2) Να κρατήσετε αντίγραφα των δεδομένων και να περιμένετε έως ότου βρούμε λύση. Δυστυχώς δεν είμαστε σε θέση να γνωρίζουμε αν και πότε θα γίνει αυτό, μιας και ως ένα σημείο εξαρτάται και από τους ίδιους τους developers του Ransomware.

Θα πρέπει, τέλος, να γνωρίζετε, ότι ακόμα και αν αποφασίσετε να ενδώσετε και να πληρώσετε τα λύτρα που ζητάνε, δεν σας εξασφαλίζει κανείς ότι θα τηρήσουν το μέρος της συμφωνίας τους, καθώς πρακτικά έρχεστε σε επικοινωνία με κακοποιούς τους οποίους αναζητά το FBI.

Ελπίδες για GandCrab

Η λύση για τον GandCrab v1, v4 & v5 (έως και 5.0.3) λειτουργεί άψογα, όχι όμως και για τις λοιπές εκδόσεις (v2, v3, v5.0.4 & v5.0.5).
Παρόλα αυτά σε επικοινωνία που είχαμε με τον επικεφαλής των μηχανικών της BitDefender, μας ενημέρωσε ότι είναι πολύ κοντά στην ανακοίνωση λύσης τόσο για τον 5.0.4 όσο και για τον v.3.
Σε αναμονή.





Νέοι Dharma

Η λαίλαπα συνεχίζεται ακάθεκτη.
Την Δευτέρα εμφανίστηκε ο .tron.
Την Τρίτη δεν είχαμε κάποιον, όμως
την Τετάρτη έκαναν ρελανς με τον .AUDIT και τον .ADOBE.
Την Πέμπτη εμφανίστηκε ο .cccmn
Την Παρασκευή γράφαμε αυτές τις γραμμές.


Νέος Ransomware - M@r1a

Tοποθετεί την επέκταση .mariacbc. Είναι βασισμένος στον BlackHeart και δυστυχώς είναι πολύ καλογραμμένος.
Το κλειδί είναι προστατετυμένο με RSA-2048 και αποθηκεύεται στο Ransom Note.


Νέος Kraken Cryptor 2.2

Είχαμε αλλαγές επιχειρηματικού χαρακτήρα στον Kraken με αυτήν την έκδοση. Εννοούμε ότι το αφεντικό τρελάθηκε και έριξε τα λύτρα από 0.1BTC (~550 ευρώ) στα $80, και αλλάξανε τη διανομή η οποία τώρα γίνεται μέσω του Fallout Exploit Kit. Αλλάξανε και την ταπετσαρία η οποία τώρα θυμίζει αρκετά Cerber. 



Σάββατο, 3 Νοεμβρίου 2018

Τα νέα των Ransomware, 3/11/2018

Είχαμε αρκετά νέα στον τομέα των Ransomware στο προηγούμενο χρονικό διάστημα.
Είχαμε συνεχιζόμενη επέλαση του Dharma, με περισσότερα από 15 νέα στελέχη. Οι απατεώνες συνεχίζουν και προκαλούν, ισχυριζόμενοι ότι έχουν λύση για τον Dharma και απλώς καρπώνονται τη διαφορά, πληρώνοντας τους εγκληματίες για να πάρουν το κλειδί. ΔΕΝ ΥΠΑΡΧΕΙ ΛΥΣΗ ΓΙΑ ΤΟΝ DHARMA. 
Είχαμε λύση για τον GandCrab (v1, v4 & v5 - έως τον 5.0.3).
Εϊχαμε πολλές επιθέσεις σε οργανισμούς και δημόσιες υπηρεσίες.


Ας τα δούμε αναλυτικά:

ΧΑΟΣ ΜΕ ΤΟΝ DHARMA -- ΠΡΟΣΟΧΗ ΣΤΟΥΣ ΑΠΑΤΕΩΝΕΣ

Σε τεράστια έξαρση βρίσκεται εδώ και περίπου 1 μήνα ο Dharma (2 μήνες, πλέον) (φτάσαμε τους 3), ο οποίος θυμίζουμε ότι μετατρέπει τα αρχεία σύμφωνα με αυτόν τον κανόνα:
filename.[<email>].wallet/.bip/.cmb/.arena (έχουν προστεθεί κι άλλα)

Θυμίζουμε επίσης ότι ο συγκεκριμένος Ransomware ΔΕΝ έχει λύση. Δεν υπάρχει από πουθενά κάποια αδυναμία που να μπορούμε να εκμεταλλευτούμε για να τον σπάσουμε και αυτό το υπογράφουμε. 

Τον τελευταίο καιρό, έχουν βγει στην πιάτσα διάφοροι απατεώνες που διατείνονται ότι έχουν λύση για τον Dharma.
Μας έχουν προσεγγίσει από τουλάχιστον 4 διαφορετικές μεριές την τελευταία εβδομάδα μόνο. Φυσικά τους καταγγείλαμε στις αρχές.

Ένα παράδειγμα:





Μην πιστεύετε τους απατεώνες. Όποιος δηλώνει ότι έχει λύση για τον Dharma bip/arena/cmb/wallet, είτε έχει μιλήσει με τους δημιουργούς του Dharma και έχει πάρει έκπτωση, έτσι ώστε να κερδίσει τη διαφορά, είτε είναι ο ίδιος ο δημιουργός του Dharma.

ΔΕΝ ΥΠΑΡΧΕΙ ΛΥΣΗ ΣΤΟΝ DHARMA ΧΩΡΙΣ ΤΟ MASTER KEY.

Για την ιστορία, οι παραπάνω "experts" μας κοστολόγησαν τη "δουλειά" τους 2800-3400 ευρώ, όσο περίπου δηλαδή κοστίζει και η παροχή του κλειδιού από τους δημιουργούς.

Λύση για τον GandCrab

H ιστορία είναι περίεργη. Σύμφωνα με τα όσα γνωρίζουμε, ένας εκ των δημιουργών του GandCrab συγκινήθηκε όταν διάβασε στο Twitter την απεγνωσμένη έκκληση για βοήθεια κάποιου ο οποίος είχε σε ένα δίσκο τις φωτογραφίες των παιδιών του, τα οποία πρόσφατα είχαν σκοτωθεί στον πόλεμο στη Συρία. Ο δίσκος αυτός είχε προσβληθεί από τον GandCrab και ο άνθρωπος έγραφε ότι θα δώσει όλα του τα υπάρχοντα, δεν τον νοιάζει τίποτα πλέον και απλώς θέλει κάποιος να τον βοηθήσει να επαναφέρει τις φωτογραφίες των παιδιών του.
Το αποτέλεσμα ήταν ένας εκ των δημιουργών του GandCrab να δημοσιοποιήσει το κλειδί για τις εκδόσεις 4 και 5 (έως την 5.0.3).
Φυσικά την αμέσως επόμενη ημέρα κυκλοφόρησε νέος GandCrab με άλλο κλειδί...





Δύο τρείς τέσσερειςνέοι Dharma

Toποθετούν επέκταση .like και .gdb. Και τρίτος με επέκταση .XXXXX. Και τέταρτος, .betta. Και πέμπτος, .Vanss.


Νέος Ransomware - CommonRansomware

Aυτός είναι λίγο αστείος. Ζητάει 0.1Btc και μετά την πληρωμή, απαιτεί από το θύμα του να του δώσει όνομα χρήστη και κωδικό πρόσβαση σε Remote Desktop έτσι ώστε να μπει το "team" τους και να κάνει την αποκρυπτογράφηση...


Νέος Jigsaw - spaß

Kάποιος ηλίθιος έφτιαξε αυτόν τον Jigsaw που τοποθετεί την επέκταση .spaß
Και είναι ηλίθιος, αφού εκτός από το γεγονός ότι δημιουργεί ένα κλειδί για κάθε αρχείο που κρυπτογραφεί, δεν το αποθηκεύει πουθενά. Επίσης, το κλειδί το κρυπτογραφεί σε base64, όμως έχει συμπεριλάβει χαρακτήρες όπως !#$^ που είναι invalid για το base64.