KeRanger - Википедия - KeRanger

KeRanger (также известный как OSX.KeRanger.A) это программа-вымогатель троянский конь нацеливание на компьютеры, работающие macOS. Обнаружено 4 марта 2016 г. Palo Alto Networks, она затронула более 7000 пользователей Mac.

KeRanger удаленно запускается на компьютере жертвы из скомпрометированного установщика для Передача инфекции, популярный BitTorrent клиент скачал с официального сайта. Он спрятан в .dmg файл в папке General.rtf. На самом деле .rtf - это исполняемый файл в формате Mach-O, упакованный с помощью UPX 3.91. Когда пользователи щелкают эти зараженные приложения, их исполняемый файл пакета Transmission.app/Content/MacOS/Transmission копирует этот файл General.rtf в ~ / Library / kernel_service и выполняет эту «kernel_service» перед появлением любого пользовательского интерфейса.[1] Он шифрует файлы с помощью ЮАР и Криптография с открытым ключом RSA, причем ключ для расшифровки хранится только на серверах злоумышленника. Затем вредоносная программа создает файл с именем «readme_to_decrypt.txt» в каждой папке. Когда инструкции открываются, они дают жертве указания, как расшифровать файлы, обычно требуя оплаты в размере одного биткойн. Программа-вымогатель считается разновидностью программы-вымогателя Linux. Linux.Encoder.1.[2]

Предупреждение для пользователей Transmission.

Открытие

4 марта 2016 г. Palo Alto Networks добавили Ransomeware.KeRanger.OSX в свою вирусную базу. Через два дня они опубликовали описание и разбор кода.

Распространение

В соответствии с Исследовательский центр Пало-Альто, KeRanger чаще всего заражался Передача инфекции от компрометации официального сайта, то зараженные .dmg был загружен, чтобы выглядеть как "настоящий" Передача инфекции. После сообщения создатели Передача инфекции выпустил новую загрузку на веб-сайте и выпустил обновление программного обеспечения.

Единственный способ, которым вредоносная программа заразила компьютер жертвы, заключалось в использовании действующей подписи разработчика, выпущенной Apple, что позволило ей обойти встроенную систему безопасности Apple.

Процесс шифрования

Файл "README_FOR_DECRYPTION.txt" размещен во всех папках.

При первом запуске KeRanger создаст три файла «.kernel_pid», «.kernel_time» и «.kernel_complete» в каталоге ~ / Library и запишет текущее время в «.kernel_time». Затем он будет спать три дня.[1] После этого он будет собирать информацию о Mac, включая название модели и UUID. После сбора информации он загружает ее в один из своих Командование и контроль серверы. Все домены этих серверов являются субдоменами onion [.] Link или onion [.] Nu, двух доменов, на которых размещаются серверы, доступные только через Сеть Tor. После подключения к Командование и контроль серверов, он возвращает данные с файлом «README_FOR_DECRYPT.txt». Затем он сообщает пользователю, что его файлы были зашифрованы и т. Д. И что им необходимо заплатить сумму в один биткойн, что составляет примерно 400 долларов США в доллар США.

KeRanger шифрует каждый файл (например, Test.docx), сначала создавая зашифрованную версию с расширением .encrypted (например, Test.docx.encrypted.). Чтобы зашифровать каждый файл, KeRanger начинает с генерации случайного числа (RN) и шифрует RN. с ключом RSA, полученным с сервера C2 с использованием алгоритма RSA. Затем он сохраняет зашифрованный RN в начале результирующего файла. Затем он сгенерирует вектор инициализации (IV), используя содержимое исходного файла, и сохранит IV внутри полученного файла. После этого он смешает RN и IV для генерации ключа шифрования AES. Наконец, он будет использовать этот ключ AES для шифрования содержимого исходного файла и записи всех зашифрованных данных в файл результата.

Зашифрованные файлы

После подключения к серверу C2 он получит ключ шифрования, а затем запустит процесс. Сначала он зашифрует папку «/ Users», а затем «/ Volumes». Есть также зашифрованные расширения файлов 300, такие как:

  • Документы: .doc, .docx, .docm, .dot, .dotm, .ppt, .pptx, .pptm, .pot, .potx, .potm, .pps, .ppsm, .ppsx, .xls, .xlsx, .xlsm, .xlt, .xltm, .xltx, .txt, .csv, .rtf, .te
  • Изображения: .jpg, .jpeg.
  • Аудио и видео: .mp3, .mp4, .avi, .mpg, .wav, .flac
  • Архивы: .zip, .rar, .tar, .gzip.
  • Исходный код: .cpp, .asp, .csh, .class, .java, .lua
  • База данных: .db, .sql
  • Электронная почта: .eml
  • Сертификат: .pem

Рекомендации

  1. ^ а б Сяо, Клод; Чен, Джин. «Новая программа-вымогатель для OS X, установщик BitTorrent-клиента для передачи зараженных KeRanger - Блог Palo Alto Networks». Блог Palo Alto Networks. Получено 2016-03-10.
  2. ^ «KeRanger на самом деле является переработкой Linux.Encoder». Bitdefender Labs. Получено 28 марта 2016.