Хабр Курсы для всех
РЕКЛАМА
Практикум, Хекслет, SkyPro, авторские курсы — собрали всех и попросили скидки. Осталось выбрать!
Хабр доступен 24/7 благодаря поддержке друзей
Комментарии 263
Если бы при команде key выполнялась проверка на оплату, ничего бы не вышло
Троянцу надо получать свой ключ для продолжения шифрования файлов, поэтому проверки быть не может…
Можно устроить.
Первый раз троян запрашивает ключ без оплаты и сервер его отдает без проблем.
Но на повторных он уже будет вести проверки, совершена ли оплата по данному токену.
Если да, держи ключик, если нет, то держи ошибку.
Единая трабла — новые файлы он не сможет дошифровать.
Первый раз троян запрашивает ключ без оплаты и сервер его отдает без проблем.
Но на повторных он уже будет вести проверки, совершена ли оплата по данному токену.
Если да, держи ключик, если нет, то держи ошибку.
Единая трабла — новые файлы он не сможет дошифровать.
Подход просто неправильный… RC6 дешевый алгоритм в плане скорости… надо было брать любой потяжелее, но с открытым ключем, тогда ключ для дешифровки получить бы не удалось. (надеюсь, школота, пишущая подобные «вирусы» — это не читает)
Очевидно даже для школоты.
А если алгоритм тяжелый — можно просто выборочное шифрование делать.
Но какая кому разница, если даже дешевые поделки работают?
А если алгоритм тяжелый — можно просто выборочное шифрование делать.
Но какая кому разница, если даже дешевые поделки работают?
Шифрование ассиметричным алгоритмом достаточно «дорого», измеряется в лучшем случае сотнями килобит в секунду.
Ну так давно уже все придумано — генерируем ключ, все шифруем симметричным алгоритмом с этим ключом, сам ключ шифруем ассиметричным — стандартная схема…
Вот не надо подсказывать, а то вымогатели выпустят новую версию, где шифрование сделано правильно.
Да не я первый — ниже уже человек 5 то же предложили… ИМХО если вымогатели ходят на хабр, то и как пользоваться симмеричным шифрованием могут хотя бы в той же Википедии прочитать.
Читает.
Сочетаем быстрое и надежное:
1. Новый агент при первом запуске генерирует свой уникальный номер, в который включает серийные номера железа, номер и имя пользователя и прочую информацию, которая с большой долей вероятности останется неизмененной на время жизни агента.
2. Агент связывается с сервером и отправляет свой номер.
3. Сервер генерирует пару закрытый-открытый ключ для асимметричного алгоритма, например, RSA, и отправляет агенту в ответ открытый ключ.
4. Агент сохраняет открытый ключ.
5. Агент проходит по списку всех «интересных» файлов в системе и для каждого генерирует полностью случайный уникальный ключ.
6. Файл соответствия ключей затем шифруется асимметричным алгоритмом при помощи открытого ключа, полученного от сервера, и хранится в общедоступном месте под провокационным названием, при желании — вместе с открытым ключом.
7. Каждый файл из «интересного» списка затем шифруется его персональным ключом при помощи какого-нибудь быстрого симметричного простого алгоритма.
8. Готово! Можно вымогать деньги.
1. Новый агент при первом запуске генерирует свой уникальный номер, в который включает серийные номера железа, номер и имя пользователя и прочую информацию, которая с большой долей вероятности останется неизмененной на время жизни агента.
2. Агент связывается с сервером и отправляет свой номер.
3. Сервер генерирует пару закрытый-открытый ключ для асимметричного алгоритма, например, RSA, и отправляет агенту в ответ открытый ключ.
4. Агент сохраняет открытый ключ.
5. Агент проходит по списку всех «интересных» файлов в системе и для каждого генерирует полностью случайный уникальный ключ.
6. Файл соответствия ключей затем шифруется асимметричным алгоритмом при помощи открытого ключа, полученного от сервера, и хранится в общедоступном месте под провокационным названием, при желании — вместе с открытым ключом.
7. Каждый файл из «интересного» списка затем шифруется его персональным ключом при помощи какого-нибудь быстрого симметричного простого алгоритма.
8. Готово! Можно вымогать деньги.
Можно проще — зачем на каждый файл свой ключ? Нормальный симметричный алгоритм с обратной связью вполне позволит зашифровать все файлы одним ключом…
Вы исходите из предположения, что ключ для симметричного алгоритма нельзя каким-то образом восстановить. Вынужден признать, что в большинстве случаев это так и есть :), но есть вероятность того, что наличие открытой копии зашифрованного файла и достаточные вычислительные ресурсы позволят открыть ключ для одного из файлов, расшифровав тем самым все остальные. Да, я знаю, что AES не подвержен known-plaintext attack, но так как накладные расходы на хранение уникальных ключей настолько низки, а повышение устойчивости системы в целом пропорционально количеству файлов, имеет смысл это реализовать.
Простая оценка — в моей домашней директории порядка 150 000 файлов. Если для каждого файла хранить sha512-хеш полного пути (64 байт), 32 байта ключа, 16 байт IV, получим в сумме 112 байт на файл. Даже если добить одну запись до 128 байт (резервные поля для будущих версий), получим страшную цифру в 18 МиБ на все, что, в принципе, себя оправдывает.
Простая оценка — в моей домашней директории порядка 150 000 файлов. Если для каждого файла хранить sha512-хеш полного пути (64 байт), 32 байта ключа, 16 байт IV, получим в сумме 112 байт на файл. Даже если добить одну запись до 128 байт (резервные поля для будущих версий), получим страшную цифру в 18 МиБ на все, что, в принципе, себя оправдывает.
AES — симметричный алгоритм. При чём тут ассиметричные ключи?
Даже AES-128 не вскрыть на домашнем компе. Я согласен с вашим подходом если бы мы разрабатывали, скажем, систему криптохранения файлов «на века» или что то в этом роде (хотя и там просто делается контейнер и шифруется одним ключом) — но для трояна ИМХО это все ненужное усложнение системы.
Применять уникальные ключи для файлов имеет смысл потому, что шифрование — процесс не мгновенный, он может быть прерван выключениями компьютера и т.д. Ключ нельзя хранить на диске — иначе аналитик его там найдет. Только в памяти. Поэтому, как минимум после каждой перезагрузки, нужно генерировать уникальный ключ. Это очень просто делается средствами CryptoAPI.
Можно использовать ассиметричное шифрование. И при запросе ключа проверять статус оплаты.
ассиметричное в чистом виде нигде не используется
Почему это? Вполне себе используется. Тот же RSA.
Из этого вытекает другое решение. Зловред генерирует рандомный ключ под симметричный алгоритм, шифрует им данные, а затем шифрует сам ключ захардкоденным или скачанным открытым ключем RSA. Мне такой вариант кажется более правильным (хотя блин, тяжело соотнести «правильно» и «злонамеренная порча данных с целью вымогательства»).
По факту RSA — очень медленный алгоритм (несколько КБ/сек). Поэтому в реальности RSA шифруется только случайный сессионный ключ для какого-нибудь симметричного алгоритма (обычно AES — благо, современные процессоры имеют специальные наборы инструкций для него).
UPD: опередили
UPD: опередили
А что если бы шифрование происходило открытым ключом (специально созданной под сессию парой)? Не дай, конечно, Бог злоумышленникам это реализовать. Проверка оплаты я вообще не понимаю зачем на клиентской машине. Конечно в плане автономности данное решение лучше, но в плане защищенности, можно же было даже фейковый яндекс мани под это сделать, чтобы бот, проверив оплату. удостоверился, что деньги поступили и дальше запустил механизм расшифровки.
Т.е. самый злой вариант, который я могу представить, это шифрование открытым ключом, проверка оплаты на стороне сервера и передача закрытого ключа для расшифровки после поступления оплаты. Честно говоря меня всегда пугала перспектива появления подобных вещей, тут мне кажется не столько техническая сторона вопроса, сколько моральная. Ведь каким надо быть мудаком чтобы такое сделать.
Т.е. самый злой вариант, который я могу представить, это шифрование открытым ключом, проверка оплаты на стороне сервера и передача закрытого ключа для расшифровки после поступления оплаты. Честно говоря меня всегда пугала перспектива появления подобных вещей, тут мне кажется не столько техническая сторона вопроса, сколько моральная. Ведь каким надо быть мудаком чтобы такое сделать.
Наверно у Вас еще много хороших идей? Продолжайте, очень интересно
Вы думаете тот, кто может реализовать подобное не сможет до этого додуматься и выуживает информацию из подобных топиков? Для того, чтобы строить защиты нужно понимать как работают зловреды и где-то мыслить как они. Без этого, к сожалению, никак.
Свои мысли я изложил чуть ниже… повторюсь — те кто писал этот код только учаться и многого еще не умеют. В комментариях большинство занято тем что рассуждают как сделать код более устойчивым к ошибкам и тем самым помогают в обучении пободным юнцам. Вопрос — зачем? свою гордость потешить? показать что Вы знаете как лучше писать зловлеров чем эти юнцы? :-)
Я всегда радовался тому что профессионалам Ваши 500 рублей не нужны, они заработают куда больше с меньшим кол-вом пыли, а вот натасканная молодежь может крови попить почти на пустом месте.
Я всегда радовался тому что профессионалам Ваши 500 рублей не нужны, они заработают куда больше с меньшим кол-вом пыли, а вот натасканная молодежь может крови попить почти на пустом месте.
Ограждение людей от знаний в данном случае проблему не решит. Тем более всё здесь упомянутое это тривиальные общеизвестные вещи.
Тривиальные, но почему то этими тривиальными вещами не воспользовались, а вы их на блюдечке приносите. Вас не удивляет почему у военных есть секретность? почему ведущие антивирусные компании не трубят на всех углах КАК они лихо всех побеждают, не рассказывают как они это делают всем и каждому, не проводят семинары «вы все дураки, вирусы нужно писать вот так».
Наверно помните случай как американский подросток «косил» по морского котика и разместил фотографии в униформе на своей странице в фэйсбуке? его потом долго пытали. Когда его освободили люди в масках прокомментировали его поведение как «дебил, мы скрываем информацию о себе потому что идет война, не стоит дарить подарки врагу».
PS: то что для Вас очевидно, для какого нибудь писателя будет «О, надо же, щас ...»
Наверно помните случай как американский подросток «косил» по морского котика и разместил фотографии в униформе на своей странице в фэйсбуке? его потом долго пытали. Когда его освободили люди в масках прокомментировали его поведение как «дебил, мы скрываем информацию о себе потому что идет война, не стоит дарить подарки врагу».
PS: то что для Вас очевидно, для какого нибудь писателя будет «О, надо же, щас ...»
Срочно запретить продажу книг по криптографии и о внутреннем устройстве Windows.
И не надо панически бояться того, что некое знание будет использовано во вред. Рано или поздно это все равно произойдет, вы лишь пытаетесь отодвинуть этот момент во времени, но забываете что благодаря тому, что данная информация открыта, умный человек уже думает не только о том, как ею воспользоваться во зло, но и как с этим бороться.
И не надо панически бояться того, что некое знание будет использовано во вред. Рано или поздно это все равно произойдет, вы лишь пытаетесь отодвинуть этот момент во времени, но забываете что благодаря тому, что данная информация открыта, умный человек уже думает не только о том, как ею воспользоваться во зло, но и как с этим бороться.
Здесь же не примеры кода пишут, а идеи. Не стоит недооценивать «школьников», они и без нас догадаются. А вот знать что еще можно ожидать полезно.
Я ниже написал в основном для тех кто думает, что «цена в 500р не такая и большая». Иначе после этой дискуссии у людей отложится в голове «надо только заплатить и все будет ОК». А ведь мало того что гарантий никаких нет, так даже если платить, это надо делать с отдельной чистой машины. Много ли людей об этом задумаются, когда «диплом горит» или что-то в этом роде?
Я ниже написал в основном для тех кто думает, что «цена в 500р не такая и большая». Иначе после этой дискуссии у людей отложится в голове «надо только заплатить и все будет ОК». А ведь мало того что гарантий никаких нет, так даже если платить, это надо делать с отдельной чистой машины. Много ли людей об этом задумаются, когда «диплом горит» или что-то в этом роде?
они и без нас догадаются.
Странно, но этот не догадался, представляете как было бы весело автору статьи будь «школьник» посообразительней и будь у него под рукой поваренная книга рецептов :-)
А как было бы весело Вам, узнав, что все ваши файлы зашифрованы, ключа нет и не предвидиться, сервер работает по защищенному каналу только пассивно и включается в коммуникацюи только после поступления платежа, классные ведь советы здесь привели и это только маленькая толика того как можно защитить свое «детище», после этого либо нести денежку либо форматировать винт :-))))
Странно, но этот не догадался, представляете как было бы весело автору статьи будь «школьник» посообразительней и будь у него под рукой поваренная книга рецептов :-)
А как было бы весело Вам, узнав, что все ваши файлы зашифрованы, ключа нет и не предвидиться, сервер работает по защищенному каналу только пассивно и включается в коммуникацюи только после поступления платежа, классные ведь советы здесь привели и это только маленькая толика того как можно защитить свое «детище», после этого либо нести денежку либо форматировать винт :-))))
Мораль сей басни: не надо надеяться, что у вирусописателей всегда будут пробелы в образовании, не надо и готовиться нести деньги непонятно кому. Надо учиться делать резервные копии, т.к. это единственное 100% средство предотвращения ущерба.
Даже не все админы делают бэкапы, хотя для них это должностное преступление. Надеятся что бэкапы будут у обычных пользователей… кмх… наивно.
Я верю что Вы себя сможете защитить, как и многие на этом ресурсе, но речь ведь идет о пользователях вообще и на нас с вами в т.ч. лежит ответсвенность будем ли мы помогать шантажистам и прочей нечести или нет.
Я верю что Вы себя сможете защитить, как и многие на этом ресурсе, но речь ведь идет о пользователях вообще и на нас с вами в т.ч. лежит ответсвенность будем ли мы помогать шантажистам и прочей нечести или нет.
Святая обязанность любого будущего вируса-вымогателя первым делом убивать все известные резервные копии стандартных пользовательских бэкаперов…
Ок, вирус с часовым механизмом. Вин чих помните? Заразил систему — выждал день-два-неделю-год, начал промышлять: сначала размножаться и заражать, по таймеру — шифровать файлы. При таком подходе с очень большой вероятностью бэкапы заражены и, если вирус пропишется в предзагрузку системы (к примеру, как это делают антивирусы или дефрагментаторы, чтоб работать с системными файлами)…
Т.е. если жертва накатит полный бэкап, то при следующей загрузке все данные будут потеряны.
Конечно это снижает эффективность вируса и дает возможность частично восстановить данные из бэкапа…
Т.е. если жертва накатит полный бэкап, то при следующей загрузке все данные будут потеряны.
Конечно это снижает эффективность вируса и дает возможность частично восстановить данные из бэкапа…
>Будет просто так — обнаружили вирус.
Сложно обнаружить то, что ничего не делает.
Предположение простое — чем дольше вирус находится в скрытой фазе, тем позже его найдут. WinCih проснулся только раз.
Т.е. нужно разделить действие вируса во времени на несколько фаз:
— заражение
— спящая фаза
— распространие
— вредоносная фаза (шифрация данных, удаление данных, выжигание матрицы монитора и т.д.).
Сложно обнаружить то, что ничего не делает.
Предположение простое — чем дольше вирус находится в скрытой фазе, тем позже его найдут. WinCih проснулся только раз.
Т.е. нужно разделить действие вируса во времени на несколько фаз:
— заражение
— спящая фаза
— распространие
— вредоносная фаза (шифрация данных, удаление данных, выжигание матрицы монитора и т.д.).
>Если вирус ничего не делает, то в чём с ним проблема? Если вирус шифрует данные, пусть и помаленьку
Это делает один и тот же вирус. Сначала ждет, чтоб пройти карантин, закопаться поглубже в бэкапы, и т.д. Ведет себя как партизан. Потом по таймеру начинает действовать, что почти автоматически означает его деконспирацию. Но уже поздно: вирус в бэкапах и т.д. При разворачивании бэкапа вирус не будет выжидать карантин, а приступит немедленно к текущей фазе — к вредительству.
Это делает один и тот же вирус. Сначала ждет, чтоб пройти карантин, закопаться поглубже в бэкапы, и т.д. Ведет себя как партизан. Потом по таймеру начинает действовать, что почти автоматически означает его деконспирацию. Но уже поздно: вирус в бэкапах и т.д. При разворачивании бэкапа вирус не будет выжидать карантин, а приступит немедленно к текущей фазе — к вредительству.
Макровирусы опровергают вашу теорию.
К примеру, можно написать вирус, который будет прятаться в базе данных MS SQL и при разворачивании базы активизироваться.
К примеру, можно написать вирус, который будет прятаться в базе данных MS SQL и при разворачивании базы активизироваться.
Т.е. пишется макро-вирус дроппер для подмешивания к данным, который будет разворачивать вирус-хозяин.
Развернули базу MS SQL, 1С, открыли документ Автокад, Ворд, Excel, и т.д. — произошло само-заражение.
Развернули базу MS SQL, 1С, открыли документ Автокад, Ворд, Excel, и т.д. — произошло само-заражение.
Вы не заметили, что я привел в пример офис в конце списка? Именно по причине того, что в новых версиях с этим сложнее.
Самое легкое в этом списке будет 1C — тут без макросов никак. Заразил конфигурацию и привет.
Попасть в MS SQL просто: нашел .mdf, подключил как персональную базу, внес изменения. Прописался в одну из встроенных процедур с помощью, к примеру, CLR Stored Procedure, или еще как — суть не меняется.
>Ну а вирус в SQL базе, даже не знаю что тут сказать, он на базу как пролез, там механизмов авторизации нет что ли? И что у хранимых процедур всяких прямо есть права писать в файловую систему и т.д.? Кошмар если так :)
К сожалению, если руки кривые, то да. В старых версиях по умолчанию включено, в новых можно включить, если есть соответствующие права. Но если ты уже забрался на машину с админскими правами — то можешь внутри MS SQL делать что хочешь.
Можно читать файлы, писать файлы и исполнять файлы.
Самое легкое в этом списке будет 1C — тут без макросов никак. Заразил конфигурацию и привет.
Попасть в MS SQL просто: нашел .mdf, подключил как персональную базу, внес изменения. Прописался в одну из встроенных процедур с помощью, к примеру, CLR Stored Procedure, или еще как — суть не меняется.
>Ну а вирус в SQL базе, даже не знаю что тут сказать, он на базу как пролез, там механизмов авторизации нет что ли? И что у хранимых процедур всяких прямо есть права писать в файловую систему и т.д.? Кошмар если так :)
К сожалению, если руки кривые, то да. В старых версиях по умолчанию включено, в новых можно включить, если есть соответствующие права. Но если ты уже забрался на машину с админскими правами — то можешь внутри MS SQL делать что хочешь.
Можно читать файлы, писать файлы и исполнять файлы.
Еще как подарок программистам можно писать инжекторы во всякие msbuild/nant/ant/maven и т.д. Еще заодно себя коммитить во все известные репозитории маскируяюсь под новые полезные тулзы или обновления существующих.
В общем задача написать вирус который будет успешно переживать бэкап и частичное восстановление _только_ данных вполне выполнима.
В общем задача написать вирус который будет успешно переживать бэкап и частичное восстановление _только_ данных вполне выполнима.
Вот вам дроппер на основе MS Word habrahabr.ru/post/163641/ судя по всему это не макровирус, а может и он.
Вирус это лишь один из многих способов потерять ценные данные. Если люди научатся делать резервные копии из боязни вирусов, то они также будут защищены от поломок оборудования и собственных ошибок (что случается гораздо чаще).
Что же решит проблему? Семинары «Какой метод шифрования выбрать для защиты коммуникации зловлера ?». :-) Тренировочные лагеря для вирусописателей? :-) Заживем.
Я не предлагаю скрывать информацию, но рассказывать вирусописателю в чем он ошибся и как нужно исправить положение это сюр. и очень странно что Вы защищаете это подход
Я не предлагаю скрывать информацию, но рассказывать вирусописателю в чем он ошибся и как нужно исправить положение это сюр. и очень странно что Вы защищаете это подход
Всё может быть гораздо хуже, если троян имитирует интерфейс платежных систем, он может переводить гораздо больше средств чем написано. Т.е. он может например говорить, что расшифровка стоит 50р а переводить всё что есть.
Ок, вот ситуация — вы троян, шифруете себе файлы, шифруете, ключ не храните на винте, только в ОП. Тут система выключается, включается снова и шифрование нужно продолжить, Ваши действия?
как альтернатива — пока весь список файлов не зашифровался, ключ храним на винте. Как только все зашифровано — ключ удаляем и забываемся под пальмами.
Снова — новые файлы, зашифровать не получится.
Снова — новые файлы, зашифровать не получится.
Ага, командный сервер постоянно ломился бы на ЯД ради проверки кошельков. Что, в общем, довольно подозрительно.
«А ты вообще за кого, за меня или за медведя?»
Меня больше всего удивила честность авторов трояна. Всегда полагал, что данные просто шифруются случайным ключом без возможности расшифровки и после оплаты ничего не происходит.
Ну, тут двояко — с одной стороны, так сделать проще всего. С другой — если уж человек пишет подобный вирус, значит, он не полный идиот. А если так — понимает, что в следующий раз жертва, зная, что её файлы утрачены безвозвратно, ничего платить не будет. Что разумнее: сделать больше работы, и оставить возможность повторной наживы, либо влёгкую срубить денег всего один раз?
Ага тем более, что после оплаты и расшифровки файлов, не обязательно же троян удаляется, просто выжидает скажем месяц и по новой :)
Навели на мысль: можно провести иммунизацию интернета, выпустив пачку вирусов, которые будут просить денег (платежи при этом роутить на благотворительность), но при этом ничего не расшифровывать. После этого никто платить не станет.
Авторы просят денег даже меньше, чем стоит вызов мастера по удалению вирусов и установке системы.
Мастер дает гарантии, несет ответственность + принципы.
Так же даст совет как не попасть повторно
Так же даст совет как не попасть повторно
Пользователей которые считают, что дешевле заплатить автору вируса, бью линейкой по пальцам, но хочется, мордой об стол и здесь дело не в том, что мне деньги нужнее, из-за того что труд этих пидарасов оплачивается, антивирус на рабочей машине с виндой, не паранойя, а необходимость.
С одной стороны я с вами согласен. И если бы это был любой другой вирус, трой или обычный винлокер, почти любой мастер быстро бы избавил незадачливого юзера от этой дряни. Но здесь совершенно другое дело.
Какова вероятность за короткое время найти в вашем городе специалиста, способного так же глубоко залезть во внутренности вируса, понять логику его работы и суметь получить ключ для расшифровки. А если автор выполнит все рекомендации из этого топика? :)
99% вероятности, что не один провинциальный «мастер» не справится с такой заразой, если в инете как минимум еще нет способа с ней справиться.
Суммируя все вышесказанное, если у вас на диске, например, единственная версия диплома, который через короткое время защищать; у лопухового юзера еще будет надежда на «мастера» у продвинутого айтишника, находящегося не в Москве, уже вряд ли; и при этом в окне тикает таймер… Цена в 500 руб. не такая и большая за не до конца убитые нервы.
Какова вероятность за короткое время найти в вашем городе специалиста, способного так же глубоко залезть во внутренности вируса, понять логику его работы и суметь получить ключ для расшифровки. А если автор выполнит все рекомендации из этого топика? :)
99% вероятности, что не один провинциальный «мастер» не справится с такой заразой, если в инете как минимум еще нет способа с ней справиться.
Суммируя все вышесказанное, если у вас на диске, например, единственная версия диплома, который через короткое время защищать; у лопухового юзера еще будет надежда на «мастера» у продвинутого айтишника, находящегося не в Москве, уже вряд ли; и при этом в окне тикает таймер… Цена в 500 руб. не такая и большая за не до конца убитые нервы.
Если зашифрованы, очень важные данные и у вас нет резервной копии, поздравляю вы ССЗБ, заплатите автору вируса и на будущее делайте копии! Вообще если у вас вирусы на машине где есть важные данные вы уже ССЗБ, а если при этом у вас нет еще и копий, это что то с головой, неизвестно лечится такое или нет.
Вопрос к автору: примерно сколько часов вы потратили на решение проблемы и сколько стоит час вашей работы?
Что-то мне подсказывает, что клиенту было дешевле заплатить авторам вируса :)
Что-то мне подсказывает, что клиенту было дешевле заплатить авторам вируса :)
В этом случае проще и быстрее просто записать всё псевдослучайным мусором.
Наверное совесть не позволяет пообещать расшифровать и не сделать этого.
В случае невозможности расшифровки шанс, что автора найдут и засудят(в лучшем случае засудят), устремляется к единице.
> В конце концов, удалось выяснить, что шифр блочный, без обратной связи и гаммирования. Длина блока – 16 байт.
чуть подробней можно?
чуть подробней можно?
Блочность и обратную связь/гаммирование можно проверить на последовательносятх нулей тех же самых.
Да, тоже интересно как это выяснилось, можно подробнее?
Если в кратце… Это называется эксперемент с черным ящиком. Создаем файл из нулей, отдаём его на съедение шифравальщику, смотрим, что стало с файлом после зашифрования.
Например, наш исходный файл из нулей имеет размер 6 байт, а на выходе получаем, например, 16 байт. Увеличим размер исходного файла до 17, и на выходе получим уже 32. От сюда вывод — длина блока 16 байт. Если бы было поточное шифрование, то кол-во байт в исходном файле было бы равно кол-ву байт в зашифрованном (ну или почти равно, шифратор может добавлять какие-то свои спец байтики, но это тоже ловится путем различных экспериментов с разным размером файла).
Для нахождения обратной связи шифруется, опять же, файлик из нулей, и то, что получаем на выходе, берем за эталон, с которым будем сравнивать дальнейшие результаты. Следующий шаг, изменим в исходном файле один байт (первый), и посмотри как изменится файл на выходе. Если на выходе так же изменился один байт, то скорее всего обратной связи нет. Для очистки совести можно снова взять исходный файл и изменить в нем второй байт, и так же посмотреть, что получится на выходе после шифрования. Потом средний, потом последний, можно хоть все их по порядку перебрать.
Гамма находится путем зашифрования файла из нуликов, длины… ну по больше, т.к. размер гаммы может быть различным. И что бы поймать гамму на повторении нужно, что бы она повторялась). Таким образом, если в зашифрованном файле мы увидим периодически повторяющуюся последовательность байт, то значит перед нами та самая гамма.
Например, наш исходный файл из нулей имеет размер 6 байт, а на выходе получаем, например, 16 байт. Увеличим размер исходного файла до 17, и на выходе получим уже 32. От сюда вывод — длина блока 16 байт. Если бы было поточное шифрование, то кол-во байт в исходном файле было бы равно кол-ву байт в зашифрованном (ну или почти равно, шифратор может добавлять какие-то свои спец байтики, но это тоже ловится путем различных экспериментов с разным размером файла).
Для нахождения обратной связи шифруется, опять же, файлик из нулей, и то, что получаем на выходе, берем за эталон, с которым будем сравнивать дальнейшие результаты. Следующий шаг, изменим в исходном файле один байт (первый), и посмотри как изменится файл на выходе. Если на выходе так же изменился один байт, то скорее всего обратной связи нет. Для очистки совести можно снова взять исходный файл и изменить в нем второй байт, и так же посмотреть, что получится на выходе после шифрования. Потом средний, потом последний, можно хоть все их по порядку перебрать.
Гамма находится путем зашифрования файла из нуликов, длины… ну по больше, т.к. размер гаммы может быть различным. И что бы поймать гамму на повторении нужно, что бы она повторялась). Таким образом, если в зашифрованном файле мы увидим периодически повторяющуюся последовательность байт, то значит перед нами та самая гамма.
Похоже ваша работа стоила больше 500 рублей, по крайней мере энергозатраты.
Имхо лучше потратить своих сил/времени даже более чем на вымогаемую сумму, чем поощрять вымогателей выплатами…
Принципиально Вы правы, но экономически, к сожалению, — нет. Может, авторы трояна именно на это и рассчитывали. Поэтому для многих будет проще заплатить заплатить вымогателям (либо заплатят столько же или больше «компьютерным докторам»).
И, полагаю, из экономических же соображений не стали заморачиваться с защитой — проще быстренько написать, запустить и добраться до большинства жертв, чем потратить кучу время, увеличив покрытие всего на пару процентов.
И, полагаю, из экономических же соображений не стали заморачиваться с защитой — проще быстренько написать, запустить и добраться до большинства жертв, чем потратить кучу время, увеличив покрытие всего на пару процентов.
Пока в России люди будут думать как вы, такие «программисты» не переведутся.
Дело в том, что перспективы найти специалиста такого, как автор топика, которому я аплодирую стоя, очень невелики, даже если отбросить финансовую и временную сторону вопроса. С большей вероятностью можно получить вообще невосстановимое нечто. Поэтому, к сожалению, в большинстве случаев все же будут платить вымогателям.
Если файлы и правда зашифрованы, то в худшем случае придется заплатить. Если злоумышленники применят, например, RSA и будут проверять статусы платежей на сервере, то тут уже никакой специалист не поможет.
Но часто бывает так, что даже винлокер после оплаты не отключается, так как изначально не предусмотрена возможность проверки статуса платежа (пользователя просят перевести деньги на какой-то кошелек без указания какого-либо id). И как рядовому пользователю понять, насколько серьезна угроза, и реально ли решить проблему деньгами?
Но часто бывает так, что даже винлокер после оплаты не отключается, так как изначально не предусмотрена возможность проверки статуса платежа (пользователя просят перевести деньги на какой-то кошелек без указания какого-либо id). И как рядовому пользователю понять, насколько серьезна угроза, и реально ли решить проблему деньгами?
Винлокер — хрен с ним, лечится при помощи фара и регедита, сам два или три раза так делал, и не оставляет ничего кроме неприятных воспоминаний. Тут-то проблема хуже.
Если файлы и правда зашифрованы, то в худшем случае придется заплатить.В худшем случае придется распрощаться с файлами… 500 рублей на этом фоне — мелочи…
К сожалению, в России таким образом много чего не переводится. Зачастую, экономически нецелесообразно с каждой отдельной проблемой бороться. Так и живём.
Совсем не все определяет «экономическая целесообразность». Отжимать айфоны на улице экономически гораздо целесообразнее, чем трудиться, зарабатывать и покупать их, тем не менее в нормальном обществе приняты другие нормы и с преступностью борются.
Отжимать айфоны на улице экономически гораздо целесообразнее, чем трудиться, зарабатывать и покупать их, тем не менее в нормальном обществе приняты другие нормы и с преступностью борются.Сильно зависит от величины и степени неотвратимости наказания. Если учитывать все косвеные издержки, но совсем не целесообразно.
«Экономическая целесообразность» — вещь довольно виртуальная и определяется множеством внешних факторов, минимум половина из которых нематериальные.
Дык, я вам про российское общество в связке с государством, а не какое-то утопическое.
«К сожалению», в России нет таких дурацких составов как ложь под присягой и использование почты и телекоммуникаций для совершения преступлений. А то можно было бы за такую мелочь лет на 100-200 загреметь.
Не всегда экономическая выгода является главным критерием. Бывает, что интерес дороже денег.
В данном случае пользователь получил свои данные обратно, топикстартер, в свое удовольствие, решил интересную для него задачу. А нехороший человек не получил очередную подачку.
В данном случае пользователь получил свои данные обратно, топикстартер, в свое удовольствие, решил интересную для него задачу. А нехороший человек не получил очередную подачку.
>Принципиально Вы правы, но экономически, к сожалению, — нет.
И экономически тоже. Сходив к «компьютерщику» пользователь вдобавок получит советы, как избежать такой гадости в дальнейшем. А заплатив автору троянца пользователь лишь поощрит его, что увеличит его активность, а, следовательно, и шанс повторного заражения.
И экономически тоже. Сходив к «компьютерщику» пользователь вдобавок получит советы, как избежать такой гадости в дальнейшем. А заплатив автору троянца пользователь лишь поощрит его, что увеличит его активность, а, следовательно, и шанс повторного заражения.
Зато мы все теперь знаем, как выпилить заразу.
Мир держится на таких людях.
Мир держится на таких людях.
А в органы вы обратились? Адрес сервера есть, он наверняка на кого-нибудь, да зарегистрирован, а дальше эт вообще работа отдела К. Пусть отрабатывают свой хлеб, дармоеды.
Ну накроют адрес — тогда следующие жертвы даже за небольшие, в общем, деньги никогда не увидят своих файлов…
Скорее всего сервера берут на тестовый период. Потому и 7 дней. А вообще, если уж они такие честные и расшифровывают данные в обмен на оплату, то можно же взять хостинги бесплатные с пхп и общаться по HTTP, зачем было писать целый протокол…
Скорее всего сервера берут на тестовый период. Потому и 7 дней.О! точно!
А что, если сервер взят на тестовый период, то невозможно отследить кто его взял?
ага, а при коннекте к серверу, клиенту выдается дополнительное поле — сколько дней осталось серверу на тестовом периоде? или он заражает всех в первый день?
по-моему про тестовый период притянуто за уши
по-моему про тестовый период притянуто за уши
Знаете, ничему не удивлюсь при такой реализации. Может они купили айпишник, а теперь просто меняют тестовые сервера, привязывая к ним один и тот же айпишник, может и всегда один сервер, я не знаю.
слишком сложно, не имеет смысла покупать ip и менять сервера, тем более если это и можно сделать, то только в рамках одного хостинга, если у них конечно AS под это не куплена =)
Ну на один сервер полагаться тоже нельзя ) я бы не стал.
вы думаете у них там целый кластер на обработке?) если бы они думали о резервировании то захардкодили бы доменное имя, его можно легко масштабировать по разным площадкам.
пока это, как уже сказали тестовый вариант. Несмотря на кажущийся непрофессионализм защиты кода и тп, как тут уже многие сказали, разработчики сделали все правильно, так как от второй версии такого вируса ни один «компьютерный мастер» уже не спасет, а от этой версии спасут единицы и себестоимость такого занятия гораздо выше, чем заплатить им денег и уже после этого почистить комп и сделать бэкапы — а за напоминание про то что нужно делать бэкапы — это небольшая цена)
пока это, как уже сказали тестовый вариант. Несмотря на кажущийся непрофессионализм защиты кода и тп, как тут уже многие сказали, разработчики сделали все правильно, так как от второй версии такого вируса ни один «компьютерный мастер» уже не спасет, а от этой версии спасут единицы и себестоимость такого занятия гораздо выше, чем заплатить им денег и уже после этого почистить комп и сделать бэкапы — а за напоминание про то что нужно делать бэкапы — это небольшая цена)
Сервер, судя по некоторым признакам, был развернут на одной из затрояненных машин. Так что вряд ли его местонахождение поможет найти злоумышленников.
Не по серверам надо искать, а по баблу:
1. Проплатить 500 руб. на счет на деньгах.мэил.ру, предупредив их, что там плохие.
2. Отследить, где будут снятия.
3. Найти и взять под контроль управляющий сервер, не обнаруживая себя, чтобы отследить тех, кто на него заходит для управления.
Короче, писать надо в полицию, а через месяцок — в прокуратуру, чтобы узнать новости.
1. Проплатить 500 руб. на счет на деньгах.мэил.ру, предупредив их, что там плохие.
2. Отследить, где будут снятия.
3. Найти и взять под контроль управляющий сервер, не обнаруживая себя, чтобы отследить тех, кто на него заходит для управления.
Короче, писать надо в полицию, а через месяцок — в прокуратуру, чтобы узнать новости.
Да какая разница, это работа отдела К, пусть хоть «по айпи вычислят» и «едальник набьют», лишь бы эти уроды-вымогатели получили то, что заслуживают.
Понимаю «Challenge accepted», но это полностью неправильное решение, через неделю к вам вернётся этот же клиент с новой модификацией трояна от этого же производителя.
однако ни один из файлов на момент обнаружения (апрель 2012 года) не опознавался антивирусами как вредоносный.
Похоже единственным путём решения проблемы, в случае чуть более грамотно написанного трояна, является регулярный бакап.
Похоже единственным путём решения проблемы, в случае чуть более грамотно написанного трояна, является регулярный бакап.
Раз носят компы, то может быть и не админом, а учителем истории запросто. Или разработчиком, или ещё кем угодно… :)
Термин «клиент» в данном случае может быть только ролью для упрощения повествования. Написали «клиент» и сразу ясно, что человек обратился к топикстратеру, считая его специалистом в области айти, с целью решить проблему за деньги. Я так воспринял. И судя по соседнему комментарию на втором уровне не ошибся :)
Лечить компы — это просто хобби. А так занимаюсь 1С программированием.
Создателям подобных вирусов хочу раздробить пальцы молотком.
Достали, программирование не должно использоваться для зла. IMHO
Достали, программирование не должно использоваться для зла. IMHO
Кажется, вас минусанул один создатель вирусов.
Атомная энергия не должна использоваться для создания ОМП.
Взрывчатые вещества не должны использоваться для применения в снарядах и патронах.
Химия не должна использоваться для создания БОВ.
Программирование не должно использоваться для зла.
Молоток не должен использоваться для раздробления пальцев.
Взрывчатые вещества не должны использоваться для применения в снарядах и патронах.
Химия не должна использоваться для создания БОВ.
Программирование не должно использоваться для зла.
Молоток не должен использоваться для раздробления пальцев.
Если бы мне такой системник принесли, даже не знаю, что бы я делал. Что бы так все «раскрутить» боюсь мозгов не хватило бы. Автору моё почтение.
Автор поста молодец. Подобных же вредоносных программ, к сожалению, все больше. Есть и другие реализации, когда, например, ключ хранится на самом компьютере, но в зашифрованном виде(открытым ключем), а закрытый ключ у вирусописателей, которые после оплаты предоставляют(или нет) расшифрованный ключ для отдельного ПК.
Печально, что соответствующие органы занимаются не тем, чем надо. Поймать гадов, конечно, задача сложная, но вот ахрхимегаусложнить процесс и возможность получения денег можно легко. Это резко снизит кол-во подобных программ и простых винлокеров.
Какие выводы тут можно сделать и что надо рекомендовать людям? Бекап! Без всяких вирусов может банально навернуться ЖД или БП унести все внутренности с собой на тот свет.
Печально, что соответствующие органы занимаются не тем, чем надо. Поймать гадов, конечно, задача сложная, но вот ахрхимегаусложнить процесс и возможность получения денег можно легко. Это резко снизит кол-во подобных программ и простых винлокеров.
Какие выводы тут можно сделать и что надо рекомендовать людям? Бекап! Без всяких вирусов может банально навернуться ЖД или БП унести все внутренности с собой на тот свет.
Как минимум стоило написать жалобу в деньги(@)mail.ru, а лучше еще и в милицию/полицию.
То что не упакован не удивительно (легче обойти эвристики антивируса на начальном этапе пока в базы не попал). А вот с ключами конечно не на уровне, достаточно было шифровать каждый файл случайным ключом, а сам ключ приписывать в конце зашифрованный публичным ключом.
То что не упакован не удивительно (легче обойти эвристики антивируса на начальном этапе пока в базы не попал). А вот с ключами конечно не на уровне, достаточно было шифровать каждый файл случайным ключом, а сам ключ приписывать в конце зашифрованный публичным ключом.
Мне не очень понятно, чем занимаются писатели антивирусов? Если такое, и подобные приложения очень легко можно детектировать — программа начинает обращаться к различным файлам на всей ФС и скачана недавно — следует предупредить пользователя об этом хотя бы. Более того, разумно предупреждать, если программа пишет в любую папку отличную от:
1. AppData
2. директории запуска программы
3. рабочей директории программы
4. любой папки, которая не была выбрана пользователем в FileDialog.
Разрешаем делать это только подписанным программам, одобренным пользователем или по white-list'ам.
1. AppData
2. директории запуска программы
3. рабочей директории программы
4. любой папки, которая не была выбрана пользователем в FileDialog.
Разрешаем делать это только подписанным программам, одобренным пользователем или по white-list'ам.
Что-то мне это напоминает… А, точно. Win8
> чем занимаются писатели антивирусов?
Как в анекдоте:
— Как три программиста могут организовать бизнес?
— Первый пишет вирусы, второй — антивирусы.
— А третий?
— Операционные системы, под которыми это все работает!
PS. Мораль: Разработчикам антивирусов не выгодно, чтобы не было вирусов.
Как в анекдоте:
— Как три программиста могут организовать бизнес?
— Первый пишет вирусы, второй — антивирусы.
— А третий?
— Операционные системы, под которыми это все работает!
PS. Мораль: Разработчикам антивирусов не выгодно, чтобы не было вирусов.
Антивирус это все-таки бизнес продукт. Там много факторов надо учесть.
Одна из граней- необходимость найти грань между «поймать все плохое» и «не поймать что то хорошее, если оно чуть похоже на плохое».Иначе пользователи тупо выключат антивирус
Одна из граней- необходимость найти грань между «поймать все плохое» и «не поймать что то хорошее, если оно чуть похоже на плохое».Иначе пользователи тупо выключат антивирус
Забыли нулевой пункт:
0. Запрещаем работать под админской учёткой.
0. Запрещаем работать под админской учёткой.
Это как раз нормально сделано начиная с Win 7, при включенном UAC, программа без моего ведома не будет работать с админскими правами. Но, меня несколько пугает возможность для любой программы повредить мои документы, доступные любому приложению из под того же пользователя.
Бэкапы это хорошо, но даже факт того, что будут повреждены данные за последний час работы скажем, — очень напрягает.
Можно, конечно запускать программу из под другого пользователя, но с другой стороны, если мне нужно с помощью этой программы обработать какой-либо из моих файлов? Очень круто, если в Win8 действительно разобрались с этим аспектом безопасности.
Бэкапы это хорошо, но даже факт того, что будут повреждены данные за последний час работы скажем, — очень напрягает.
Можно, конечно запускать программу из под другого пользователя, но с другой стороны, если мне нужно с помощью этой программы обработать какой-либо из моих файлов? Очень круто, если в Win8 действительно разобрались с этим аспектом безопасности.
Собственно никаких, кроме сообщения Evengard чуть выше. Но когда я пользовался пререлизной версией Win8 я ничего подобного не заметил. Приятно было бы иметь функционал ограничения доступа приложений на уровне ОС, а не сторонних приложений.
Насколько я понял, такие ограничения касаются только WinRT приложений. Обычные приложения всё так же имеют доступ ко всему.
Потому-то тот мой коммент и саркастичен.
Но и этот вопрос решается довольно просто, как с UAC у которого появились «уровни безопасности». Да, многие его все равно отключат полностью, но сама возможность включить некоторое надежное (пусть и жертвующее удобством) решение может изменить общее мнение о вопросе безопасности. Кто будет терпеть «ограничение свободы» просто потому, что инженеры из Microsoft решили, что «так лучше»? Совсем другое дело, когда твои друзья говорят тебе, «как ты мог не включить этот пункт, ты такой болван и сам виноват». Пара ошибок, и человек поймет, что «а, и правда, так гораздо лучше».
Прекрасный пост, читающийся легко и интересно, содержание ценнее заголовка, что в последнее время редкость. Спасибо!
А вообще, история знает случаи, чтобы авторов винлокеров ловили и сажали?
Если верить статистике, на этом уже миллиарды зарабатывают. Но, в отличие от борьбы с пиратами, тут правоохранители чего-то молчат и не проявляют особого рвения, максимум блочат электронные кошельки.
Если верить статистике, на этом уже миллиарды зарабатывают. Но, в отличие от борьбы с пиратами, тут правоохранители чего-то молчат и не проявляют особого рвения, максимум блочат электронные кошельки.
Зачем их ловить? С ними можно сотрудничать :) А вообще сажали, одного точно.
создалось ощущение, что Вы либо тот самый, точно посаженный :) либо его «садитель»
не-не-не, я далеко от этих дел ) просто знаю случай )
Общественная мораль тоже имеет значение. Обратите внимание, сколько интереса в этой ветке вызвали технические аспекты проблемы, и насколько меньше было реакции «А что ж не поймать этих гадов и отрезать всё, что выступает?!».
Википедия нам сообщает: «Modern ransomware attacks were initially popular within Russia...»
Википедия нам сообщает: «Modern ransomware attacks were initially popular within Russia...»
Авторы часто сами их не распространяют, а продают.
Понимаю, что не пройдёт, но надо бы таки в mail.ru написать, чтобы кошелёк заблокировали, а все деньги оттуда по возможности отдали автору топика с условием, что программа расшифровки будет выложена в открытый доступ.
Если не считать отсутствия шифрования последнего блока, программа дешифровки стандартная. А вот получение ключа шифрования производится с сервера, и, как обещали авторы, он там хранится только 7 дней. Так что декриптор в общем случае невозможен.
А вот перехват управления контрол центром и перевод его в режим расшифровки — этим стоило бы заняться.
А вот перехват управления контрол центром и перевод его в режим расшифровки — этим стоило бы заняться.
Да круто. Если так пойдет дальше эти программы могут стать более совершенными (предложения по усовершенствованию в коментах выше ;) и взлом может оказаться невозможен. Нужен какой то технологический прорыв — что бы в принципе невозможно запускать «вредоносные» программы и (или) что бы можно было откатить изменения файлов до момента их шифрации. Причем эти возможности операционная система предоставляла «из коробки». Гигабайты и гигагерцы растут, а лидеры рынка ОС борются только за свой карман.
Тут не технологический прорыв нужен, а административный. Всё что связано с деньгами возможно отследить. Тк вероятность появления локеров, требующих биткоины пока нулевая.
Самый простой вариант для бекапа изменения всех файлов использовать любую систему контроля версий, тот же git. Но винты не резиновые.
PS думаю есть и fs с поддержкой сего, но — винты не резиновые.
PS думаю есть и fs с поддержкой сего, но — винты не резиновые.
Главная защита — не ставить программы из «странных» мест. В GNU/Linux есть репозиторий откуда все ставят программы и фейл может случится, если его заразят, чего риск ниже, чем заразится скачав с какого-нибудь сайта что-либо (не говоря уж о том, что это что-либо не факт, что запустится под linux'ом по многим причинам).
Вы — молодец! Сам сталкивался с гораздо более простым случаем трояна-шифровщика-вымогателя, в котором автор, к счастью, поленился полноценное шифрование файлов реализовать. Из-за этого получилось всё восстановить даже не имея тела вируса для анализа.
В милицию-то заявление написали? Пусть через деньги-майл-ру отловят и накажут подлеца, даром что ли мои налоги едят?
Написали бы, если бы не удалось расшифровать файлы. Клиенту файлы важнее, чем чувство удовлетворенности от восстановленной справедливости.
При чем тут чувство удовлетворенности от восстановленной справедливости? Это преступление и по этому преступлению должны проводиться соответствующие мероприятия, тем более, повторюсь, им за это и я, и вы платите зарплату. Если автохулиган собьет насмерть пешехода, то пешеходу на том свете до фонаря, справедливо это было или несправедливо, но от этого автохулиган не начинает представлять меньшую общественную опасность.
Напишите сейчас, это несложно, текст у вас, я вижу, уже есть.
Напишите сейчас, это несложно, текст у вас, я вижу, уже есть.
Насколько я представляю правоохранительную систему, для того, чтобы наказать кого-то, нужно сначала этого кого-то найти, потом определить состав преступления, а потом доказать вину преступника. По первому пункту (найти) уже ничего не сделаешь. Действия происходили в апреле. По второму пункту — определить состав преступления — тем более. Для следственных мероприятий нужно будет предоставить зараженный компьютер с зашифрованными файлами… По третьему пункту и так все понятно.
От простого заявления типа «меня кто-то пытался обмануть: кто — не знаю, как — знаю, но доказательства представить не могу» толку мало.
От простого заявления типа «меня кто-то пытался обмануть: кто — не знаю, как — знаю, но доказательства представить не могу» толку мало.
Это не так, вот то, что вы написали, это их работа, не следует ее брать на себя. Поиск доказательств, опрос соседей, нахождение мотивов, прочий детектив — как раз их работа, а не ваша. От вас требуется лишь зафиксировать факт и заявить о нем. Если брать 272 статью, то это значит, что там максимум два года тюрьмы, т.е. это преступление небольшой тяжести, т.е. срок давности по нему 2 года, с августа вы вполне успеваете. Ну и, наконец, всегда помните, что свидетельские показания тоже являются доказательствами (вещь обоюдоострая, т.к. за дачу ложных показаний тоже полагается отвечать перед судом). Я бы на вашем месте написал бы, отправил, ну а там возбудят — молодцы, пусть ищут, а придет отказ — ну значит отказ, обжаловать этот отказ тот еще геморрой.
Подам вашу идею клиенту. Раз вещдоки не обязательны, пускай пишет заявление. В конце концов он же потерпевшая сторона.
Это кстати тоже не важно. На самом деле даже я могу написать заявление (тем паче мне не впервой), или сам сотрудник органов может увидеть дискуссию и составить рапорт об обнаружении признаков преступления и запустить процесс. Другое дело, что у вашего клиента могут быть, как бы это выразиться, «чувствительные» данные, которые он не захочет просто так предоставлять органам и по которым в свою очередь точно так же может быть составлен рапорт об обнаружении признаков. В общем смотрите, идею я вам подал, потребуется предметная помощь (как отправлять, регистрировать, куда, кому, что добавить, чего лучше не добавлять, и прочее) — пишите в личку, я помогу.
Когда то таки появится зловред по высказанным выше предложениям(ассим.ключь и т.п.) принимающий плату биткойнами и общающийся с сервером по какому нибудь фринету/тору.
Ну еще заодно может портить пром. контроллеры/ подделывать сайты клиент-банков.
Ну еще заодно может портить пром. контроллеры/ подделывать сайты клиент-банков.
Как вариант можно ссылку на браузер по умолчанию подменить на такой же собраный из исходников вполне рабочий, но с коррективами которые веб деньгу всякую нетуда шлют.
Сейчас на вас в очередной раз гавкнут, мол, не палите контору вирусописателям, но я совершенно не имею ничего против, поэтому спрошу — а как обычный пользователь отправит перевод в биткоинах?
Можно приложить инструкцию.
Ну вот попадает это к типичному пользователю компьютера — можете понять, кто это, выберя в какой-нибудь социальной сети пользователя со случайным id — как думаете, легко ему будет освоить эту инструкцию? Ненадежно. А через кошельки в платежных системах все просто и понятно. Их очень легко получить и очень легко вывести с них деньги, не выдавая о себе ничего, так наркотиками торгуют, например.
Можно инструкцию нормально написать + ему файлы нужны или нет? Дополнительный стимул. И никто не отменял обменники, можно ссылки на один из таковых дать.
Стимул — отлично, но клиент может в принципе не быть способным понять, что происходит, придется писать подробно, а подробные инструкции наверняка в большом числе случаев не будут соответствовать реальности. Обменники — очень хорошая идея, да.
Однако сами биткоины не очень-то анонимны :) Вся история транзакций публично доступна, и хоть владелец кошельков не ясен, все переводы денег можно отследить. И даже при использовании скрамблера (сети кошельков, используемой для скрытия следов), если деньги не были потрачены внутри сети, след преступника сохраняется до точки выхода. Впрочем, отслеживать это сложно и никому не нужно.
Система перемешивания должна была быть заложена архитектурно, чтобы все биткоины проходили по цепочке кошельков со случайным разделением на каждом пункте, прежде чем попасть к владельцу. Это совершенно логичная и при этом стопроцентная заплатка для этой ужасной дыры.
Однако сами биткоины не очень-то анонимны :) Вся история транзакций публично доступна, и хоть владелец кошельков не ясен, все переводы денег можно отследить. И даже при использовании скрамблера (сети кошельков, используемой для скрытия следов), если деньги не были потрачены внутри сети, след преступника сохраняется до точки выхода. Впрочем, отслеживать это сложно и никому не нужно.
Система перемешивания должна была быть заложена архитектурно, чтобы все биткоины проходили по цепочке кошельков со случайным разделением на каждом пункте, прежде чем попасть к владельцу. Это совершенно логичная и при этом стопроцентная заплатка для этой ужасной дыры.
Например через bitinstant — для некоторых стран, в том числе США и России они предлагают простые способы.
уже даже не один)
Ну! А вы говорите — дельфи мерт дельфи мертв… Жив он и будет жить!
PS: Автор молодец, я бы наверное после осознания факта зашифровки предложил бы клиенту а) написать заяву в полицию; б) обратится в техподержку компании, от которой стоял антивирус (пусть они там моск ломают); в) Заплатить таки эти 500 рублей; г) обратиься в компанию восстановления данных. Но шарить бы не стал, ибо такая работа стоит куда больше 500 руб.
PS: Автор молодец, я бы наверное после осознания факта зашифровки предложил бы клиенту а) написать заяву в полицию; б) обратится в техподержку компании, от которой стоял антивирус (пусть они там моск ломают); в) Заплатить таки эти 500 рублей; г) обратиься в компанию восстановления данных. Но шарить бы не стал, ибо такая работа стоит куда больше 500 руб.
Ну вот, теперь разработчики трояна учтут все ошибки, и в следующий раз не дадут маху!
Мне интересно, а такая активность по шифрованию файлов не отлавливается антивирусами? Если нет, то с ужасом жду по 100-200 корпоративных пользователей в день, держащих системники и ноуты в руках.
Много времени назад занимался разработкой shareware-софта и сделал самодельную генерацию ключа, защиту и пр.
Первый же кейген/взломщик который выпустили для моего софта хакеры, сопровождался подробной пошаговой инструкцией, «как ковыряли, как ломали». Ничего более захватывающего не читал.
Думаю если автор трояна увидит этот пост, тоже смахнет слезу умиления.
Первый же кейген/взломщик который выпустили для моего софта хакеры, сопровождался подробной пошаговой инструкцией, «как ковыряли, как ломали». Ничего более захватывающего не читал.
Думаю если автор трояна увидит этот пост, тоже смахнет слезу умиления.
Думаю автор вируса не заморачивался насчет защиты программы, ибо затраты на разработку сложного алгоритма программы превышают прибыль которую можно получить от данного вируса.
К примеру я пишу программы под Windows и встраиваю в них разного рода защиту (привязка к железу, ограничения работы по времени и по функционалу), но я точно знаю что на этот функционал я должен потратить не более 2% времени от общего написания программы, иначе затраты на разработку защиты превысят прибыль получаемую от программы.
К примеру я пишу программы под Windows и встраиваю в них разного рода защиту (привязка к железу, ограничения работы по времени и по функционалу), но я точно знаю что на этот функционал я должен потратить не более 2% времени от общего написания программы, иначе затраты на разработку защиты превысят прибыль получаемую от программы.
а мне вот непонятно бесстрашие троянщиков. Неужели они совсем не рассматривают вариант вычисления их через ЯД и взятия за жабры органами? :)
Какую-то вы странную экзотику словили…
Есть кошелёк мейл ру? Нет желания написать заяву в органы? По идее судя по всему работает не очень талантливый человек. А деньги можно вывести, только засветив паспорт если к уловкам не прибегать, я думаю пару историй с привлечением данных вундеркиндов заставит остальных задуматься.
Поскольку в ситуации упоминалась 1С, то есть вариант что уволенный программист или фрилансер которому не доплатили (или оштрафовали) взял и оставил «сюрприз», чтобы выбить с бывшего шефа/клиента деньги
Все беды от рута.
Я считаю что если человек работает с какими-то критическими данными без бекапов, под рутом, да еще и запускает непонятные файлы (посещает непонятные сайты?...hic!), а потом плачет что его данные потеряны — то он сам себе злобный буратино.
Кстати, какой антивирус был установлен на компьютере жертвы?
Я считаю что если человек работает с какими-то критическими данными без бекапов, под рутом, да еще и запускает непонятные файлы (посещает непонятные сайты?...hic!), а потом плачет что его данные потеряны — то он сам себе злобный буратино.
Кстати, какой антивирус был установлен на компьютере жертвы?
Да, и еще вопрос — сколько стоила эта работа по восстановлению файлов?
У пользователя будет доступ к собственным файлам, если запретить ему устанавливать программы и скачивать исполняемые файлы, к примеру. В данном случае — пользователь куда-то залез на какой-то развлекательный сайт, у него скачался и запустился троян, а дальше вы читали. Либо он сам его запустил пытаясь «ПРОВЕРИТЬ ВАШ КОМПЬЮТЕР НА ВИРУСЫ ОНЛАЙН» или еще что-то.
Отвлекусь, поведаю историю — у меня есть дядя (за 40 лет возраст), живет отдельно, никаких секретных и ценных документов нет, а я ему периодически через радмин помогаю с компом проблемы решить — поставить что-то, посмотреть почему не работает что-то, etc…
Вот у него характер и склад ума такой… ну, я не знаю каким словом это правильно называется, но если он что-то где-то услышал и ему это понравилось — теперь этот факт признается единственно верным, а источник — истина в последней инстанции, и дядя всем вокруг это доносит настойчиво, даже если в теме не разбирается. Стоял у него касперски, у учетки админские права, работал себе спокойно. А вот дядя вычитал где-то что касперски сканирует всё что происходит на компьютере и отсылает собранную информацию на свои сервера, откуда её потом забирает ФСБ и МВД. Этот факт его напугал и он удалил касперского, установив вместо него AVG Free.
Ну и через неделю познакомился с винлокером (кажется, он качал приложение чтобы узнать как будет выглядеть человек в старости по фотке), мне при этом ничего не сказав.
Вызвал «мастера» — мастер сделал так что винлокер не появлялся, но сайты не открывались никакие вообще. За это взял 4000 рублей.
Вызвал еще одного мастера — теперь сайты открываются, но только в IE. Еще 2000 рублей по карте мастеркард
А потом вызвал его еще раз — и тот с 9 утра до полуночи провозился с его компьютером, сбросил настройки роутера, форматнул диск и поставил пиратскую ХР. Взял за это 9000 рублей и ушел.
Теперь он сидит с правами юзера, и может запускать только хром и скайп.
Отвлекусь, поведаю историю — у меня есть дядя (за 40 лет возраст), живет отдельно, никаких секретных и ценных документов нет, а я ему периодически через радмин помогаю с компом проблемы решить — поставить что-то, посмотреть почему не работает что-то, etc…
Вот у него характер и склад ума такой… ну, я не знаю каким словом это правильно называется, но если он что-то где-то услышал и ему это понравилось — теперь этот факт признается единственно верным, а источник — истина в последней инстанции, и дядя всем вокруг это доносит настойчиво, даже если в теме не разбирается. Стоял у него касперски, у учетки админские права, работал себе спокойно. А вот дядя вычитал где-то что касперски сканирует всё что происходит на компьютере и отсылает собранную информацию на свои сервера, откуда её потом забирает ФСБ и МВД. Этот факт его напугал и он удалил касперского, установив вместо него AVG Free.
Ну и через неделю познакомился с винлокером (кажется, он качал приложение чтобы узнать как будет выглядеть человек в старости по фотке), мне при этом ничего не сказав.
Вызвал «мастера» — мастер сделал так что винлокер не появлялся, но сайты не открывались никакие вообще. За это взял 4000 рублей.
Вызвал еще одного мастера — теперь сайты открываются, но только в IE. Еще 2000 рублей по карте мастеркард
А потом вызвал его еще раз — и тот с 9 утра до полуночи провозился с его компьютером, сбросил настройки роутера, форматнул диск и поставил пиратскую ХР. Взял за это 9000 рублей и ушел.
Теперь он сидит с правами юзера, и может запускать только хром и скайп.
вы хотите сказать, что под xp для запуска exe, чтения файловой системы и доступа в интернет нужны права администратора? нет, не нужны.
PS: вирусы часто распространяются и на крупных известных сайтах, через рекламу, например.
PS: вирусы часто распространяются и на крупных известных сайтах, через рекламу, например.
Теперь он сидит с правами юзера, и может запускать только хром и скайп.
Имелось в виду что у него права юзера, но кроме этого дополнительно ограничен запуск исполняемых файлов(не только правами юзера), а в разрешенных — две программы.
На случай вирусов в рекламе есть антивирус — загрузчики известны на сегодня и поведение у них одно и то же — запуститься и открыть соединение, которое определяется эвристическими алгоритмами.
Кстати говоря, в XP есть ограничение на запуск ЕХЕ как по имени/пути, так и по хэшу файла, но устанавливается оно не юзерскими правами и требует создания белого листа
Имелось в виду что у него права юзера, но кроме этого дополнительно ограничен запуск исполняемых файлов(не только правами юзера), а в разрешенных — две программы.
На случай вирусов в рекламе есть антивирус — загрузчики известны на сегодня и поведение у них одно и то же — запуститься и открыть соединение, которое определяется эвристическими алгоритмами.
Кстати говоря, в XP есть ограничение на запуск ЕХЕ как по имени/пути, так и по хэшу файла, но устанавливается оно не юзерскими правами и требует создания белого листа
«посещает непонятные сайты» — вот это сильно, дайте список понятных, а.
на самом деле рут не решает ничего. самое важное, что есть на компьютере пользователя — его файлы, доступ к которым он имеет и без рута. открыть соединение по 80 порту и прочитать файлы пользователя, можно без root на «офисных» компьютерах в 99,9999 случаях.
на самом деле рут не решает ничего. самое важное, что есть на компьютере пользователя — его файлы, доступ к которым он имеет и без рута. открыть соединение по 80 порту и прочитать файлы пользователя, можно без root на «офисных» компьютерах в 99,9999 случаях.
Мне кажется вы придираетесь к словам, игнорируя при этом действительную суть сказанного.
Понятные — те, которые ему необходимы для работы. Хабрахабр, к примеру, таким не является. Любой разлекательный сайт таким не является. А на каком-нибудь консультанте вряд ли будет троян даунлоадер в баннере. А вот к примеру через мейл.ру практически по любому запросу будут фишинговые страницы.
По поводу файлов:
1) любой нормальный антивирус (нод, касперски, веб) закроет 80 порт сразу же
2) чтение файлов — не такая беда, гораздо хуже когда пользователь сам не может их прочитать по той причине что они криптоскойким алгоритмом зашифрованы — если, конечно, не планируется что-то вроде «В случайно расшаренной папке в интернете Gizmodo нашли исходники windows9»
3) этот 99,9999 случав — сидит за натом и серыми айпи, а в организациях посерьезней — за проксей и файрволами.
Если есть желание — можем провести эксперимент с домашним компом моим (по-честному уберу роутер и антивирус)
Понятные — те, которые ему необходимы для работы. Хабрахабр, к примеру, таким не является. Любой разлекательный сайт таким не является. А на каком-нибудь консультанте вряд ли будет троян даунлоадер в баннере. А вот к примеру через мейл.ру практически по любому запросу будут фишинговые страницы.
По поводу файлов:
1) любой нормальный антивирус (нод, касперски, веб) закроет 80 порт сразу же
2) чтение файлов — не такая беда, гораздо хуже когда пользователь сам не может их прочитать по той причине что они криптоскойким алгоритмом зашифрованы — если, конечно, не планируется что-то вроде «В случайно расшаренной папке в интернете Gizmodo нашли исходники windows9»
3) этот 99,9999 случав — сидит за натом и серыми айпи, а в организациях посерьезней — за проксей и файрволами.
Если есть желание — можем провести эксперимент с домашним компом моим (по-честному уберу роутер и антивирус)
ну так вы про какие рабочие или личные компьютеры? если на рабочих это ещё как-то возможно, то на личных мало себе представляю. лучше уж с win, перейти на osx или linux, где вирусов мало.
абсолютно не факт, что антивирус будет что-то блокировать, если он не настроен на параноидальный режим.
ну вот вам пример, небольшая организация, которая не имеет постоянного админа, следовательно блокировать выполнение exe — это не вариант (заблокировано только с внешних носителей). даже обновления нормально накатываться не будут.
на yandex почту (то есть их антивирус не сработал) пришло письмо «типа от клиента» с «типо счётом». zip вложение в нём файл «счёт.scr» с иконкой pdf. Обучить всех пользователей понимать расширения возможности нет. что письма открывать от неизвестного отправителя не надо они знают, но тут известный.
антивирус symantec никак не отреагировал на этот файл. Мало того, троян был отправлен им 7 ноября, когда уже несколько антивирусов определяли этот файл. 22го (!!!) ноября они написали следующее:
Этот троян также прошёл через антивирус в гейте (Forefront) и через железный firewall (правда там антивируса нет, так что это не его вина).
Так мало того, открыть «счёт» не получалось (файл просто прописывал себя в системе и не выводил никакого сообщения), троян открыл весь отдел, т.к. сотрудница пыталась открыть его на других компьютерах.
И висел бы он на этих компьютерах до сих пор (судя по ответу Symantec), если бы меня не попросили открыть письмо, а то не открывается.
И что, компьютеры в домене, права не админские естественно у пользователей. Политики есть, свежие антивирусы тоже, антивирус на гейте есть, firewall есть. Даже почтовый сервер Yandex, который тоже имеет свою безопасность. Ну да, scr не блокировался, упущение. Но сколько компьютеров где это заблокировано, единицы? Да и всё блокировать нельзя, будет какой-нибудь быть pdf с 0day.
Я к тому, что без громадного дискомфорта это «войну» выиграть невозможно. Да и сколько компьютеров вообще не администрируются, дай бог обновления накатываются. У вас просто изначально была фраза, что всё дело в руте, я по-этому и ответил.
абсолютно не факт, что антивирус будет что-то блокировать, если он не настроен на параноидальный режим.
ну вот вам пример, небольшая организация, которая не имеет постоянного админа, следовательно блокировать выполнение exe — это не вариант (заблокировано только с внешних носителей). даже обновления нормально накатываться не будут.
на yandex почту (то есть их антивирус не сработал) пришло письмо «типа от клиента» с «типо счётом». zip вложение в нём файл «счёт.scr» с иконкой pdf. Обучить всех пользователей понимать расширения возможности нет. что письма открывать от неизвестного отправителя не надо они знают, но тут известный.
антивирус symantec никак не отреагировал на этот файл. Мало того, троян был отправлен им 7 ноября, когда уже несколько антивирусов определяли этот файл. 22го (!!!) ноября они написали следующее:
.scr Our automation was unable to identify any malicious content in this
submission.
The file will be stored for further human analysis
Этот троян также прошёл через антивирус в гейте (Forefront) и через железный firewall (правда там антивируса нет, так что это не его вина).
Так мало того, открыть «счёт» не получалось (файл просто прописывал себя в системе и не выводил никакого сообщения), троян открыл весь отдел, т.к. сотрудница пыталась открыть его на других компьютерах.
И висел бы он на этих компьютерах до сих пор (судя по ответу Symantec), если бы меня не попросили открыть письмо, а то не открывается.
И что, компьютеры в домене, права не админские естественно у пользователей. Политики есть, свежие антивирусы тоже, антивирус на гейте есть, firewall есть. Даже почтовый сервер Yandex, который тоже имеет свою безопасность. Ну да, scr не блокировался, упущение. Но сколько компьютеров где это заблокировано, единицы? Да и всё блокировать нельзя, будет какой-нибудь быть pdf с 0day.
Я к тому, что без громадного дискомфорта это «войну» выиграть невозможно. Да и сколько компьютеров вообще не администрируются, дай бог обновления накатываются. У вас просто изначально была фраза, что всё дело в руте, я по-этому и ответил.
Чтож, тут я согласен — одним только рутом мало что решишь.
Но без необходимости сидеть под рутом — очень неосмотрительно, когда есть что терять.
А что этот вирус в src делал такое, раз его присутствие так никто и не заметил?
Но без необходимости сидеть под рутом — очень неосмотрительно, когда есть что терять.
А что этот вирус в src делал такое, раз его присутствие так никто и не заметил?
а фиг его знает, я не исследовал. он точно прописывал себя в автозагрузку и делал копии себя (вот как symantec на это не реагировал?). Дальше судя по описанию drweb и kaspersky (они единственные детектили его в тот момент) делал дамп всех паролей ит.п. и отправлял их кому-то.
учитывая явную направленность на организации, может пытался увести банк-клиент.
В итоге организация будет переходить на drweb, т.к. он судя по всему значительно быстрее определяет угрозы созданные в/для «россии».
учитывая явную направленность на организации, может пытался увести банк-клиент.
В итоге организация будет переходить на drweb, т.к. он судя по всему значительно быстрее определяет угрозы созданные в/для «россии».
Касперский. На тот момент ни один антивирус не распознавал эту заразу, так что вместо касперского мог быть любой другой антивирус.
Немного не в тему, но возник вопрос в контексте данной темы — если малварь назовёт себя firefox.exe, файрвол встроенный в антивирус с разрешающим правилом для браузера сможет отличить малварь от настоящего firefox.exe?
У меня была похожая история. Я тогда тоже изучил протокол трояна с командным центром, пробрался в админку командного центра и узнал много интересного: сколько компов заражено, их IP-адреса и данные браузера и IP хозяина всего этого безобразия.
Интересно сколько из отписавшихся в комментариях отправили скрин в службу поддержки деньгиmail.ru?
Имхо, вымогателей надо давить еще в зародыше. Год другой в тюрьме заставит уважительно относиться к чужому времени.
Имхо, вымогателей надо давить еще в зародыше. Год другой в тюрьме заставит уважительно относиться к чужому времени.
Чуть не об… ся, когда увидел скрин «ДОСТУП ЗАБЛОКИРОВАН»… RC66…. Оказалось, Chrome открыл ссылку из почты, и по дефолту показал вкладку с хабры, что читал вчера на ночь…
Не представляете ребята, как отлегло, когда понял, что это не вирус =))))))) пошел сделаю бакапы (да, флешбек).
Не представляете ребята, как отлегло, когда понял, что это не вирус =))))))) пошел сделаю бакапы (да, флешбек).
Какие остались варианты? Самый долгий и кропотливый – выдернуть алгоритм формирования ключа отладчиком из исполняемого файла. Оставил этот вариант на крайний случай из-за его избыточной трудоемкости.
…
С большой вероятностью готовая реализация алгоритма на дельфи была скачана из интернета. Также вряд ли использовались готовые скомпилированные библиотеки, в них криптоалгоритм был бы реализован гораздо качественнее и уж точно не оставлял бы незашифрованными блоки менее 16 байт.
…
В-третьих, авторы троянца не слишком заморачивались по поводу защиты своего продукта от декомпиляции и отладки, что в конечном итоге упростило анализ алгоритма шифрования и получения ключа.
На первоначальном этапе в случае наличия незапакованного/распакованного/сдампленного исполняемого кода весьма полезно воспользоваться одним из средств сигнатурного определения общеизвестных алгоритмов шифрования:
KANAL — Krypto Analyzer for PEiD
Keygener Assistant (hash & crypto detector)
плагин findcrypt для IDA
Так много букв и никого не пасодют… а жаль!
Автор, снимаю перед Вами шляпу.
Только вчера залил важные доки на гуглодрайв. Видимо, не зря…
А вот интересна юридическая сторона вопроса. Какие действия стоило бы предпринять, чтобы этим искальщикам «RC6 на дельфи» на всю жизнь запомнилось, что так делать нельзя? Какое ведомство с такими вещами работает? Прокуратура?
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
История борьбы с трояном-файлошифровальщиком – поход в центр управления за ключом