BAT.Encoder
В полку вредоносных программ, шифрующих данные и документы пользователя прибыло. Вариант, использующий легальную программу GnuPG с криптографией PGP/OpenPGP называют по классификации DrWeb BAT.encoder. Существуют несколько вариантов BAT.encoder, но все они используют один и тот же механизм шифрования. На стороне пользователя создается ключевая пара: pub/sec key. В дальнейшем, sec key /secring.gpg/ сразу же шифруется открытым ключом из пары, созданной на стороне злоумышленников и сохраняется (в зашифрованном виде) в файле KEY.PRIVATE. Оригинал сессионного sec key удаляется спец. утилитой с целью защиты от восстановления. Шифрование данных и документов пользователя на всех найденных локальных, съемных и сетевых дисках выполняется публичным pub key ключом /pubring.gpg/ из созданной сессионной пары. /естественно, воспроизвести повторно ключевую пару невозможно, всякий раз будет создана новая пара с уникальным отпечатком./пример pub key:
отпечаток: 8637 E30A 6EC3 3205 F0C6 A1E5 5B0D 504C 12B9 516A
ID 12B9516A
ID длин. 5B0D504C12B9516A
-----BEGIN PGP PUBLIC KEY BLOCK-----
Version: GnuPG v1 - GPGshell v3.78
mI0EU/6w/QEEALe9xEmdsFgpYjjDi8MJYQd4kwapQs1BVFXpHLp+MoUYJhLEbfvD
eB9zy3ytgO0zlJclkLOrhcNKMZLASefh8izzzuf9kTDr3KHA/wr95F9vxJVGor4Q
UzJ5JqIPgaxVeCvrAQjGkGUPG0dMl+g2mPKNWNCoWb61qnXT1SURA57jABEBAAG0
JGdlbmVzaXMgKGdlbmVzaXMpIDxrZXlidGNAZ21haWwuY29tPoi4BBMBAgAiBQJT
/rD9AhsvBgsJCAcDAgYVCAIJCgsEFgIDAQIeAQIXgAAKCRBbDVBMErlRakU2A/9D
WH1QhB+0z9IywdT0lfO8/Y8MeO16kCBhBXTvLVohfcNY9icZf+54Wi7OCKyBKyh2
HhAgo0ezzg61uKs5ktiihIDfcWKpcy42niZfZlkz2/QGydvRVLnGP7YtnCqi6bZP
XXKbc0R+izq5xX1F8fiuzxiRSDURDxj43V2dhzVR0w==
=p6nf
-----END PGP PUBLIC KEY BLOCK-----
gpg: зашифровано 1024-битным ключом RSA, с ID 12B9516A, созданным 28.08.2014"genesis (genesis) "
восстановить полностью ключевую пару невозможно без наличия секретной части ключа, который злоумышленники используют в энкодере.
В теле bat файла содержится лишь публичная часть ключа злоумышленников, которым шифруется sec key из ключевой пары, созданной на стороне юзера.
(в данном случае используется ключ/подключ.... шифрование выполнено подключом, в целях возможной замены подключа, при его компроментации.)
-----BEGIN PGP PUBLIC KEY BLOCK-----
Version: GnuPG v1 - GPGshell v3.78
mQENBFPgfZQBCACwmI/ra8/PJnw1YAvQZ8mszyEtIfJ4GA2jTM3ih9qCWMRb3cCI
heeVFaBTyAp33AP0EGjRDcg7E4VihowO2zCqJa7QkEfxVLwYKbEiEEnns4VDNnut
eOsyHF/ZyiNshYUN3Fj+YiFMtOzEUcJEE0QuUfl2o0Ajl9BRz3cQPPSnUhKS/vmc
Fut1Y5GcJVWhjl4f51Grp1Q5lB9ndqCVGpG7PZ7tqQgA6934DOjGQQF3BK9ZuSJq
v4bMKs12cOndOIFuoim/KV5NL4wXlUes7GIlTp4P3izlobNlVfYKXgS4Vc/H/FiA
YVOaB7L4rVXwc7oixYSI1a4TwqXfifDhJNSRABEBAAG0ImtleWJ0YyAoa2V5YnRj
KSA8a2V5YnRjQGdtYWlsLmNvbT6JATgEEwECACIFAlPgfZQCGwMGCwkIBwMCBhUI
AgkKCwQWAgMBAh4BAheAAAoJEIUsFvyqtih1ly4IAJlYEiJX2VeXV77c8M/0PRtN
XAGmgFjt9WNvnMGlvAY88/QUMwMU9XV2gXTc+KiLacuagofhGpHOuZf3suSBYMDS
oi135YTGs1sAWOx2kBwmyW8rrNLZ84V4wa97I9nEbzIYB0thzr3euu0QTz78hj2v
Gai2uA82F45XFcjXhPKINbSgMCYIpbhfjUCMbSVy8+3rF9fUDWICVwzAof467GOI
b4SKcDkX5IOzDugDnKXvKwDNr9fcomZhhVUz5djF1TTORc0qXQye2GiFa6ZtE4aH
WFw6hKfBIgaJGFIqnr7be0Di1duWisnCYS2n9/VDcZpeOpv7uqc78KDJ+Ogm27W5
AQ0EU+B9lAEIAMcXK4tuglxptwQKg4aODX8OnSbAyAQW5QHTK9d4GG40vry8IJVx
pUYe7fgax7OIkKLnYjo0uNXnBD70e3Z80WhDK1/2eIC4MxqVAD4cKP2yKZOFLKi2
BJ7BdYk+y4d2MgqGuGIt84Wp0Zrcs1O32pS2lXfaBxjREaAUuqzy4MU0AJ5+5tK0
qeD1OTxJhYivIky/qrmDtMf0G/WzxULV1iy0pkDP/s44KmsQxept3MzmCMgdAXmg
2ANdP5r+UOglQeLKBmyLhCAcNqvHPU5I2X5qWmAbU0Z8IT/M1m/SE0/r9VF63C+Y
g3HQQDVZYOFWqi2uHOoU/LZ157kgF5gYqNUAEQEAAYkBHwQYAQIACQUCU+B9lAIb
DAAKCRCFLBb8qrYodQp3B/0SeVJOLU+3gmq+R7VLqNbeS6NZ9KnZQvda3vyE0/+t
FGx3Xo6Gf4chi+hTY33Ph+/4xA0cFg3i2YDSZRunDKG3OavrRDIpF6SNIH/X/sPU
IQxATi1Sq/EmNzJdAqqqYNQT7YlWyVjI2pLcbberET+9LHIMcatnQ08GZQDViiSI
o7fW4sVYMgnRS5OXOwzMqW7wLuLbIGuTZQXTIOAoOhuZtfmy5woCRwF9sygYu5yw
iwQkX2P/Ffzwrpu92J8uqoVeUXdBV8bgnK92KKKi/F4czak/DLa453cLlwozPxSv
6/RKzQXVaopzuOdvdRTwKSb+mFr+gsMlQ1t7xNcMdW84
=yxjK
-----END PGP PUBLIC KEY BLOCK-----gpg: зашифровано 2048-битным ключом RSA, с ID A3CE7DBE, созданным 05.08.2014
"keybtc (keybtc) "
gpg: сбой расшифрования: секретный ключ не найден.
File: W:\bat.encoder\[email protected]\12B9516A_A3CE7DBE\KEY.PRIVATE
Time: 06.09.2014 17:26:44 (06.09.2014 10:26:44 UTC)
Как защититься от энкодеров:
1. прежде всего, установить антивирусную защиту и регулярно обновлять базы, есть вероятность, что антивирус заблокирует процесс загрузки компонентов вредоносной программы из внешней сети, с определенных URL-адресов или перехватит запуск bat энкодера на локальной системе.
2. регулярно создавать и обновлять архивные копии ваших документов, плюс обратите внимание, что архивы rar, zip могут быть так же зашифрованы, если окажутся на вашем диске в момент работы шифратора.
*.xls *.xlsx *.doc *.docx *.xlsm *.cdr *.slddrw *.dwg *.ai *.svg *.mdb *.1cd *.pdf
*.accdb *.zip *.rar *.max *.cd *
3. от повторного заражения может защитить наличие в каталоге %temp% файлов: keybtccheck.bin, crypta.bin, crypti.bin, paycrpt.bin, alligation.bit и skipcrypo.bit и др., если в теле энкодера присутствует следующая строка: if exist "%temp%\keybtccheck.bin" goto replyauto , завершающая процесс работы энкодера. (c), В.Мартьянов, DrWeb. добавлю, что это мера защиты от повторного запуска, предусмотрена разработчиками шифратора, и может быть пересмотрена от версии к версии, т.о. не является серьезным шагом для защиты от шифрования.
4. процесс шифрования может быть остановлен и завершен после перезагрузки системы или аварийного завершения работы.
5. Пробуйте с помощью, например, HIPS запретить запись в файлы pubring.gpg, secring.gpg в папке %temp% в любом случае, в данной модификации bat-encoder (если он использует GnuPG) после скачивая утилиты gpg.exe (которая может быть переименована как угодно) вначале будет пытаться создать ключевую пару в эти файлы. а затем будет шифровать ваши данные с помощью созданных ключей.
Если перехватить процесс на стадии создания ключей, то шифрование не состоится. или можете положить известные вам ключи pubring.gpg, secring.gpg
------
троян, если не сможет их перезаписать, возможно будет пытаться их использовать для шифрования.
вообщем, так и выходит: защищаем в HIPS добавленные в %temp% известную пару pub/sec ключей
в итоге, бат_энкодер, если пробился через черные списки и мониторинг, не сможет перезаписать, и удалить эту пару ключей, и шифровать документы будет вашим pub key. соответственно, и secring.gpg из этой пары не будет удален и перезаписан.
результат:
файлы зашифрованы, но ключик то секретный у нас хранится на связке ключей.
.Upd: достаточно положить и защитить pubring.gpg, а секретную часть ключа хранить в надежном месте.
Upd1: bat encoder слегка модифицировался (вариант от 26.09.2014), теперь используются два ключа на рандомный выбор (AAB62875/A3CE7DBE и 3ED78E85/F05CF9EE) для шифрования secring.gpg из ключевой пары, созданной на стороне юзера. вместо "taskmgr.exe" модуль gpg.exe (скачивается из сети) теперь называется "svchost.exe".
сцена по прежнему разворачивается в папке %temp% пользователя.
и по прежнему актуально блокирующее правило защиты от перезаписи и удаления для конечного файла %temp%\pubring.gpg
-----------
(c), chklst.ru
my pubring.gpg
скачать известную ключевую пару
Мы ищем точки опоры не с целью перевернуть мир, но чтобы не позволить миру опрокинуть нас.
Тэги темы:
Войдите или Зарегистрируйтесь чтобы комментировать.
Комментарии
p.s. спасибо за помощь thyrex, BloodDolly!
https://forum.esetnod32.ru/forum35/topic13163/?PAGEN_1=3
https://virusinfo.info/showthread.php?t=199536
интересно, что в обоих случаях на компьютерах пострадавших пользователей установлен не_без_известный софт Medoc: C:\ProgramData\Medoc\Medoc_2\ezvitInfo.exe
HKEY_CURRENT_USER, Software\Microsoft\Windows\CurrentVersion\Run, ezvitInfo
возможно, именно через него и было получено "очередное обновление с нагрузкой шифратора"
пример записки:
пример зашифрованных файлов:
v1.2.3_NewInConfig_ru.htm.id-{815F73E7}_repairfiles365@gmail_com
001_0218_2.zip.id-{C4591254}_repairfiles365@gmail_com
использован ключ:
к сожалению, по второй теме нет зашифрованных файлов, чтобы проверить каким ключом было выполнено шифрование, т.е. использовался ли в этих случаях один и тот же ключ, или в каждом случае была создана уникальная пара pub/sec key.
вторая половина 2016 года:
шифрование *.WNX:
https://forum.esetnod32.ru/forum35/topic13487/
использован ключ winnix <[email protected]>
пример зашифрованного файла:
шифрование *.MATRIX
пример ключа:
PGuest43 0xBF22D8AF/0x91239522
пример зашифрованного файла:
LbPCy1fREZX.id-D31FE624BF22D8AF.MATRIX
записка о выкупе: (matrix-readme.rtf)
указанный ID в записке о выкупе является идентификатором pub key, которым выполнено шифрование.
судя по коду шифратора, GnuPG используется в данном случае для шифрования рандомного ключа, с помощью которого шифруются файлы пользователя.
публичный ключ FCrypt (импортированный из файла FCRYPT_RSA_PUBLIC_KEY.TMP) создан на стороне злоумышленников.
gpg: ключ D79BF9D67589C395: "FCrypt"
Очевидно, что этот файл может меняться от версии или сборки.
ключевая пара при этом, на стороне пользователя, не создается и не используется.
файлы пользователя шифруются по другому алгоритму. (не OpenPGP)
в качестве записки о выкупе используется шаблон: +
добавляется информация о зашифрованном ключе в base64-кодировке.