Перейти к содержанию
AM_Bot

Разработана утилита, расшифровывающая файлы, зашифрованные Trojan.Encoder

Recommended Posts

AM_Bot

Trojan.pngКомпания «Доктор Веб» разработала утилиту, успешно справляющуюся с последствиями вредоносных действий троянца-шифровальщика Trojan.Encoder.252. Новая версия представителя известного семейства троянцев-энкодеров опасна тем, что шифрует данные пользователей и вымогает у них деньги за расшифровку пострадавших файлов. Этот троянец попадает на компьютеры жертв через спам-рассылку якобы от арбитражного суда.

подробнее

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww

Пафоса-то, пафоса. В дрвеп изобрели брутфорс? Надеюсь, что запатентовали.

А если серьезно, то что там такого уникального? :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Valery Ledovskoy

Купили сервер. Отбивают через PR стоимость :)

А я всё жду, кто ж nVidia Tesla для этого применит?

А ещё было бы круто, если бы кто-нибудь использовал распределённые вычисления на базе платформы BOINC для расшифровки.

Я бы поучаствовал.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww
А я всё жду, кто ж nVidia Tesla для этого применит?

Я хреново знаком с базой, но по-моему если задача сводится к матричным вычислениям (численные методы?), то использовать можно. С другой стороны, енкодеры не стоят того, имхо ;) Из пушки по воробьям.

А ещё было бы круто, если бы кто-нибудь использовал распределённые вычисления на базе платформы BOINC для расшифровки.

SETI? Поиск внеземных цивилизаций? Ололо :lol:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Valery Ledovskoy
SETI? Поиск внеземных цивилизаций? Ололо laugh.gif

Не только. На базе этой платформы существует множество различных проектов. Например, медицинские.

Или, поближе, поиск больших простых чисел, что используется в криптографии.

С другой стороны, енкодеры не стоят того, имхо wink.gif Из пушки по воробьям.

Если на 24 ядрах 20 часов, то на Тесле, скорее всего, уложилось бы в несколько минут.

Запросов сейчас около 30 в день у Доктора, насколько они сообщают.

Вполне нормальное решение.

Если АВ-индустрия перед данной угрозой сдастся, будет печальнее. Ни пушек, ни воробьёв не будет :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Илья Рабинович
Если АВ-индустрия перед данной угрозой сдастся, будет печальнее.

Ты помнишь, был уже енкодер, который шифровал по стойкому алгоритму так, чо расшифровать было вообще нереально. Вой стоял- мама не горюй.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Valery Ledovskoy
Ты помнишь, был уже енкодер, который шифровал по стойкому алгоритму так, чо расшифровать было вообще нереально. Вой стоял- мама не горюй.

Конечно, помню. Я тогда ещё работал в Докторе, и помню как ЛК собирала по всему миру лучших учёных. Тщетно, конечно, но хоть пытались. Это было 5 лет назад.

Помню и те времена, когда сканер Dr.Web первые шифровальщики "щёлкал" обычным своим сканером (подбирая при этом ключ).

При этом 6 лет назад предполагалось, что через 5-10 лет взлом RSA-1024 будет уже доступен.

Кроме того, 3 года назад писалось о такой вот уязвимости в алгоритме. А "Доктор Веб" сейчас что-то пишет про то, что последний шифровальщик работает только тогда, когда компьютер находится в Интернете. Значит, возможны атаки на сервер злоумышленника для ускорения.

В качестве дополнения. Интегральная производительность проектов на платформе BOINC по данным на 16 апреля 2012 года составляет 6,1 петафлопс (и, кстати, достаточно быстро растёт).

Итого. Задачу, которую тогда ставила ЛК, вполне по силам скоро (если не уже) решать "в лоб". Да, ресурсоёмко, но возможно. И появляются новые способы ускорить перебор.

Да, конечно, вирусописатели перейдут на 2048-битный ключ. При этом можно учитывать то, что шифрование производится на компьютере пользователя, и оно будет происходить дольше, чем при использовании 1024-битного ключа или с большей нагрузкой на процессор. Но в целом это не так уж заметно. Т.е. могут и 2048 использовать.

Стоит ли заниматься сейчас подбором паролей, если знать, что можно зашифровать так, что всех вычислительных ресурсов Земли не хватит на расшифровку? Сложный вопрос, но я думаю, что всё же пытаться стоит, пока большая часть случаев поддаётся решению при привлечении производительного железа и специалистов.

20 часов на обычных 24 ядрах, как я уже сказал, это около нескольких минут на Tesla. Это всего лишь $6К и специалист, который знает, с какой стороны подойти к CUDA. Возможно, сами специалисты nVidia помогут, ибо лучше знают своё железо, и им нужны такие применения для рекламы. Это реклама со знаком плюс, и для nVidia, и для АВ-вендоров. И пользователи будут благодарны :)

Когда-то и с руткитами было сложно, потом было сложно с 64-битными руткитами, а когда-то давно сложно было с полиморфиками. А когда-то сложно было с винлоками.

А почему бы не попробовать научиться HIPS-ом перехватывать процессы, похожие на шифрование, на компьютерах пользователей от неавторизованных программ? :)

Мне кажется, тут ещё большое поле для деятельности по поиску новых подходов, упреждающих и когда "оно уже случилось".

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww
А почему бы не попробовать научиться HIPS-ом перехватывать процессы, похожие на шифрование, на компьютерах пользователей от неавторизованных программ? :)

В общем случае это выглядит так: открытие файла на запись -> мэппинг/чтение -> запись, а в этом нет ничего подозрительного вообще (даже если отталкиваться от временных промежутков). В данном случае может помочь только эвристика на сам файл. Но и написать можно "неподозрительно" и все тут.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
Ты помнишь, был уже енкодер, который шифровал по стойкому алгоритму так, чо расшифровать было вообще нереально. Вой стоял- мама не горюй.

Да полно шифровальщиков и сейчас, где пострадавшим реально невозможно помочь ничем. На Вирусинфо очень много пострадавших обращается и им нечем помочь. http://virusinfo.info/forumdisplay.php?f=194

Вот варианты кодов расшифровки для примера:

gdhyru7590%$#&())HVFD4№:?паоегелнщщдhtyjytku

nvhtyu86947%@&)GFUJLnfgrytjhyoumhjkренепртуз

9455869рпнешпо768п;"%?*(?:%;?8опипегш60ршлп

Удачи в брутфорсе :)

http://virusinfo.info/showthread.php?t=120806

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Valery Ledovskoy
В общем случае это выглядит так: открытие файла на запись -> мэппинг/чтение -> запись, а в этом нет ничего подозрительного вообще (даже если отталкиваться от временных промежутков). В данном случае может помочь только эвристика на сам файл.

А сам процесс шифрования никак перехватить нельзя в памяти? Только операции с файлами?

Кстати, файлов же открывается куча по всему диску - это нельзя использовать? Это ж не один файл.

Вот варианты кодов расшифровки для примера:

gdhyru7590%$#&())HVFD4№:?паоегелнщщдhtyjytku

nvhtyu86947%@&)GFUJLnfgrytjhyoumhjkренепртуз

9455869рпнешпо768п;"%?*(?:%;?8опипегш60ршлп

Но не всегда же при этом используется RSA?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
B .
А если серьезно, то что там такого уникального? :)

Да просто тут одна уважаемая организация заявляла, что 252-й расшифровать невозможно ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Mr.Belyash
В общем случае это выглядит так: открытие файла на запись -> мэппинг/чтение -> запись, а в этом нет ничего подозрительного вообще (даже если отталкиваться от временных промежутков). В данном случае может помочь только эвристика на сам файл. Но и написать можно "неподозрительно" и все тут.

Посмотрите 9 бету доктора и реакцию на энкодеры.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Valery Ledovskoy

Почему удаляют посты Беляша? Мне, например, интересно, что реализовали в бете Dr.Web 9 от шифровальщиков.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik

Он на премоде.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Valery Ledovskoy

Те, кто на премоде, попадают в RSS?

Премод, возможно, и хорошо в его случае, но в последнее время в RSS попадают вполне нормальные сообщения от него.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
Но не всегда же при этом используется RSA?

Пожалуйста, есть и RSA http://virusinfo.info/showthread.php?t=143554

Есть Blowfish http://virusinfo.info/showthread.php?t=141336 с примером http://virusinfo.info/showthread.php?t=141336

Алгоритмы шифрования на любой вкус. Кто и на чем будет все это расшифровывать? А главное, кто будет за все это платить?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
K_Mikhail
Почему удаляют посты Беляша? Мне, например, интересно, что реализовали в бете Dr.Web 9 от шифровальщиков.

Превентивные детекты (при запуске ехе)

DPH:Trojan.Encoder.generic - превентивный детект для энкодеров.

DPH:Trojan.Inject.generic - превентивный детект для инжекторов.

При срабатывании таких детектов файл переносится в карантин.

P.S. Если правильно помню.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Valery Ledovskoy
А главное, кто будет за все это платить?

ИМХО, пользователи антивирусов "за это всё" платят вполне прилично, судя по анализу АВ-рынка, мирового и российского.

Количество кейсов, которые необходимо проработать, не так велико.

Вполне должно быть по силам АВ-компаниям дойти до состояния, когда можно определить навскидку, можно ли быстро расшифровать или нет. Если нет - извиняйте, можете сохранить до времён, когда кейс будет решён ("в лоб" или как-то ещё). Если да - брать на брутфорс или на что-то ещё.

Да, независимые хелперские сайты такое могут себе позволить не всегда.

DPH:Trojan.Encoder.generic - превентивный детект для энкодеров.

DPH:Trojan.Inject.generic - превентивный детект для инжекторов.

Т.е. это HIPS?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
Премод, возможно, и хорошо в его случае, но в последнее время в RSS попадают вполне нормальные сообщения от него.

ОК, снял Беляша с вечного премода. Валера, под твое поручительство ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
K_Mikhail
Т.е. это HIPS?

Вроде как да.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Valery Ledovskoy
Валера, под твое поручительство wink.gif

Будет должен :) Если что - кнопку "жалоба" буду жмакать :)

Вроде как да.

Блин, не успел запатентовать :D (это я снова про авторское право)

Но вообще круто. Главное, чтобы не научились обходить. Определённо, будут пытаться.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!

Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.

Войти

  • Сообщения

    • rownong
      Здравствуйте. Есть следующая инфраструктура (VPS куплены у хостинг-провайдера).  VPS сервер 1.
      На нем:
      - Несколько баз данных MySQL 
      - Папки (с сайтами, веб-приложениями, скриптами)
      - Установленные программы
      > Панель управления Vesta
      > MySQL-сервер
      > PhpMyAdmin
      > FTP-сервер
      - Задачи крона VPS сервер 2.
      На нем:
      - Asterisk (с конфигурациями) В перспективе VPS сервер 3.
      На нем будет располагаться ERP организации (база данных, бекенд Laravel, фронтенд Vue.js).  Нужно обеспечить безопасность данной IT инфраструктуры, закрыть максимум уязвимостей.
      Чтобы злоумышленники не могли, просмотреть / украсть: пароли в конфигах PHP скриптов, данные БД Таблиц MySQL, не имели доступ к  Asterisk, данным ERP, защита от sql инъекций, DDoS-атак и т.д. Вопросы: 1. В представленной инфраструктуре, каких технические специалисты должны делать аудит ? PHP-программист, системный администратор, или есть отдельные специалисты которые занимаются безопастностью в IT? 2. Я правильно понимаю, что выполнение задачи будет разбито на 2 этапа:
      - аудит (когда будут выписаны замечания)
      - реализация мер по устранению замечаний
      ?? 3. Как выбрать аудиторов?
      Достаточно фрилансеров или нужно обращаться в организацию? 4. Как определить компетенции аудиторов в обеспечении безопасности в IT? 5. Имеет смысл  нанимать сразу 2-х аудиторов?
      Потом реализовывать замечания обоих аудитов? 6. В какой формате проводятся аудиты по безопасности?
      Нужно будет прислать специалистам доступы ко всем системам? 7. Целесообразно делать аудит VPS без аудита офисного железа (компьютеры, роутеры, файловый сервак)?
      Теоретически на компьютерах могут быть уязвимости к вирусам которые доступы крадут от VPS, но проверять еще компы всей организации, сильно увеличит время на аудит.  
    • Draft
      К Сереге лысому, моему другу, приходят и жалуются, мол разводят их как лохов
    • Quincy
      К тебе именно приходит и на сайт жалуется?)))) 
    • Зотов Тимур
      Здравствуйте. Мне помог тренинг http://games4business.ru/product/vedenie-peregovorov . Менеджеры стали более уверены в себе, не бояться отвечать на вопросы и не впадают в панику при отказе клиента, а наоборот пытаются сделать все чтоб он передумал.Компания Лаборатория Деловых Игр качественно и профессионально составляют различные тренинги, которые действительно помогают компаниям процветать и развиваться.
    • PR55.RP55
      https://github.com/dragokas/hijackthis/blob/devel/src/_ChangeLog_ru.txt Стоит прочесть и найти полезное. Типа: Добавлена зачистка зависимостей легитимных служб от удаляемой службы.
      Добавлен запрет программе на перезагрузку серверных ОС с запросом к пользователю сделать это вручную.
      Добавлена проверка типа виртуализации ключей реестра.
×