| CryptoLocker | |
|---|---|
| Tip de | Troian , ransomware |
| Anul apariției | 5 septembrie 2013 |
| Descriere Symantec | |
Atacul ransomware CryptoLocker a fost un atac cibernetic folosind ransomware CryptoLocker , care a avut loc între 5 septembrie 2013 și sfârșitul lunii mai 2014. Atacul a folosit un troian care infectează computerele care rulează sistemul de operare Microsoft Windows [1] și se crede că a fost postat pentru prima dată pe Internet pe 5 septembrie 2013 [2] . Troianul s-a răspândit prin atașamente de e-mail infectate, site-uri web infectate și printr-o rețea bot existentă pe computerul utilizatorului . Când un computer este infectat, malware-ul cripteazăanumite tipuri de fișiere stocate pe unități de rețea locale și mapate folosind sistemul de cripto- cheie publică RSA , cu cheia privată stocată numai pe serverele de control al malware. Malware-ul afișează apoi un mesaj care oferă decriptarea datelor dacă o plată (prin Bitcoin sau un voucher preplătit în numerar) este efectuată în limita de timp specificată, iar utilizatorul este amenințat cu ștergerea cheii private dacă termenul expiră. În cazul în care acest termen nu este respectat, malware-ul oferă decriptarea datelor printr-un serviciu online oferit de operatorii de malware la un preț semnificativ mai mare în bitcoini, fără nicio garanție că plata va duce la decriptarea conținutului.
În timp ce CryptoLocker în sine poate fi îndepărtat cu ușurință, fișierele afectate au rămas criptate într-un mod pe care cercetătorii l-au considerat imposibil de decriptat. Mulți cred că răscumpărarea nu ar trebui plătită, dar nu oferă nicio modalitate de a recupera fișierele; alții susțin că plata unei răscumpări este singura modalitate de a recupera fișierele care nu au fost salvate printr-o copie de rezervă . Unele victime au susținut că plata răscumpărării nu duce întotdeauna la decriptarea fișierelor.
CryptoLocker a fost izolat la sfârșitul lunii mai 2014 ca urmare a Operațiunii Tovar , iar în același timp a fost capturată și botnet-ul Gameover ZeuS , care a fost folosit pentru a distribui malware. În timpul operațiunii, o firmă de securitate implicată în proces a obținut o bază de date cu chei secrete utilizate de CryptoLocker, care, la rândul său, a fost folosită pentru a crea un instrument online pentru recuperarea cheilor și fișierelor fără a plăti o răscumpărare. Se crede că operatorii CryptoLocker au obținut cu succes, în total, aproximativ 3 milioane de dolari de la victimele troienilor. Alte cazuri ale următorului ransomware au folosit numele (sau variantele) CryptoLocker, dar nu au nicio legătură.
CryptoLocker este de obicei distribuit ca atașament la un mesaj de e-mail presupus inofensiv care pare a fi de la o companie legitimă [3] . Fișierul e-mail atașat mesajului de e-mail conține un fișier executabil cu numele fișierului și pictograma deghizat ca fișier PDF : profitând astfel de comportamentul implicit al Windows pentru a ascunde extensia de numele fișierelor pentru a ascunde extensia reală - .EXE. CryptoLocker a fost distribuit și folosind troianul și botnetul Gameover ZeuS [4] [5] [6] .
La prima rulare , sarcina utilă a troianului este instalată în folderul de profil al utilizatorului și adaugă o cheie la registry care o face să ruleze la pornirea computerului. Apoi încearcă să contacteze unul dintre mai multe servere de comandă și control atribuite; după conectare, serverul generează o pereche de chei RSA de 2048 de biți și trimite cheia publică către computerul infectat [1] [5] . Serverele pot fi proxy-uri locale și pot trece prin alte servere, deseori deplasându-se în diferite țări pentru a le face dificil de urmărit [7] [8] .
Încărcarea utilă criptează apoi fișierele de pe hard disk-urile locale și unitățile de rețea mapate cu o cheie publică și înregistrează fiecare fișier prin criptarea lor într-o cheie de registry. Procesul criptează numai fișierele de date cu anumite extensii, inclusiv Microsoft Office , OpenDocument și alte documente, imagini și fișiere AutoCAD [6] . Încărcarea utilă afișează un mesaj care informează utilizatorul că fișierele au fost criptate și necesită o plată de 400 USD sau EUR printr -un voucher de numerar anonim preplătit (cum ar fi MoneyPak sau Ukash ) sau echivalentul Bitcoin (BTC) în 72 sau 100 ore (începând de la 2 BTC, prețul de răscumpărare a fost ajustat de operatori la 0,3 BTC pentru a reflecta valoarea fluctuantă a bitcoin) [9] , sau cheia privată de pe server va fi distrusă și „nimeni nu va mai putea recupera fișierele vreodată „ [1] [5] . Plata răscumpărării permite utilizatorului să descarce programul de decriptare, care este preîncărcat cu cheia privată a utilizatorului [5] . Unele victime infectate susțin că au plătit atacatorii, dar fișierele lor nu au fost decriptate [3] .
În noiembrie 2013, operatorii CryptoLocker au lansat un serviciu online care permite utilizatorilor să-și decripteze fișierele fără programul CryptoLocker și să achiziționeze o cheie de decriptare după termenul limită; procesul a implicat încărcarea unui fișier criptat pe site ca probă și așteptarea ca serviciul să găsească o potrivire; site-ul a susținut că cheia va fi găsită în 24 de ore. Odată descoperită, utilizatorul poate plăti cheia online, dar dacă termenul limită de 72 de ore a trecut, costul crește la 10 bitcoini [10] [11] .
Pe 2 iunie 2014, Departamentul de Justiție al SUA a anunțat oficial că în weekendul precedent, Operațiunea Tovar — un consorțiu care include: un grup de agenții de aplicare a legii (inclusiv FBI și Interpol ), furnizori de software de securitate și mai mulți universități — a fost capturat de rețeaua botnet Gameover ZeuS , care a fost folosită pentru a distribui CryptoLocker și alte programe malware. De asemenea, Departamentul de Justiție l-a acuzat public pe hackerul rus Yevgeny Bogachev pentru presupusa sa implicare în rețeaua botnet [4] [12] [13] .
În cadrul acestei operațiuni, firma olandeză Fox-IT a reușit să obțină o bază de date cu chei secrete utilizate de CryptoLocker. În august 2014, Fox-IT și o altă companie, FireEye , au introdus un serviciu online care permite utilizatorilor cu computere infectate să-și extragă cheia privată prin descărcarea unui fișier eșantion și apoi primirea unui instrument de decriptare [14] [15] .
Deși software-ul de securitate este conceput pentru a detecta astfel de amenințări, este posibil să nu detecteze deloc CryptoLocker în timpul criptării sau după finalizarea criptării, mai ales dacă este distribuită o nouă versiune care nu este cunoscută de software-ul de securitate. Dacă un atac este suspectat sau detectat în stadiile incipiente, troianul are nevoie de mai mult timp pentru a cripta: eliminarea imediată a malware-ului (un proces relativ simplu) înainte ca acesta să fie complet va limita doar coruperea datelor sale [16] [17] . Experții au sugerat măsuri de precauție, cum ar fi utilizarea software-ului sau a altor politici de securitate pentru a bloca încărcătura utilă CryptoLocker [1] [5] [6] [8] [17] .
Datorită naturii modului în care funcționează CryptoLocker, unii experți au sugerat fără tragere de inimă că plata unei răscumpări este singura modalitate de a recupera fișierele din CryptoLocker în absența backup-urilor curente (backup-urile offline făcute înainte de apariția infecției, inaccesibile de la computerele infectate, nu pot fi atacate). de CryptoLocker) [3] , din cauza lungimii cheii folosite de CryptoLocker, experții au considerat că este aproape imposibil să se obțină forța brută cheia necesară pentru decriptarea fișierelor fără a plăti o răscumpărare; un troian similar din 2008 Gpcode.AK a folosit o cheie de 1024 de biți, care a fost considerată suficient de lungă încât să fie imposibil să-și calculeze cheia, fără posibilitatea unor eforturi concertate și distribuite, sau să detecteze un decalaj care ar putea fi folosit pentru decriptare [5] ] [11] [ 18] [19] . Analistul de securitate Sophos Paul Ducklin a speculat că serviciul de decriptare online al CryptoLocker a inclus un atac de dicționar împotriva propriei criptări folosind baza de date cu chei, explicând cerința de a aștepta până la 24 de ore pentru a obține un rezultat [11] .
În decembrie 2013, ZDNet a urmărit patru adrese bitcoin găzduite de utilizatori ale căror computere au fost infectate cu CryptoLocker, în încercarea de a estima costurile operatorilor. Aceste patru adrese au arătat o tendință de 41.928 BTC din 15 octombrie până în 18 decembrie: aproximativ 27 de milioane de dolari la acea vreme [9] .
În sondajele efectuate de cercetătorii de la Universitatea Kent , 41% dintre cei care au susținut că au fost victime au spus că au ales să plătească răscumpărarea: proporția celor care au plătit răscumpărarea a fost mult mai mare decât se aștepta. Symantec estimează că 3% dintre victime au plătit, iar Dell SecureWorks estimează că aproximativ 0,4% dintre victime au plătit [20] . După închiderea rețelei bot care a fost folosită pentru a distribui CryptoLocker, s-a estimat că aproximativ 1,3% dintre cei infectați au plătit răscumpărarea; mulți dintre ei au reușit să restaureze fișiere prin backup, în timp ce se crede că alții au pierdut cantități masive de date. Cu toate acestea, se crede că operatorii troianului au reușit să obțină un total de aproximativ 3 milioane de dolari [15] .
Succesul CryptoLocker a dat naștere unui număr de troieni ransomware (Ransomware) fără legătură și cu nume similare care funcționează în esență în același mod [21] [22] [23] [24] , inclusiv unii care se numesc „CryptoLocker” dar, conform pentru cercetători securitatea nu sunt legate de CryptoLocker original [21] [25] [26] .
În septembrie 2014, clone precum CryptoWall și TorrentLocker (a căror sarcină utilă se identifică ca „CryptoLocker”, dar este numită pentru a utiliza o cheie de registry numită „Aplicație BitTorrent”) [27] au început să se răspândească în Australia. Ransomware-ul folosește e-mailuri infectate care se presupune că sunt trimise de departamentele guvernamentale (de exemplu, Australia Post pentru a indica livrarea eșuată a pachetului) ca sarcină utilă. Pentru a evita detectarea de către scanerele automate de e-mail care ar putea urma link-uri, această opțiune a fost concepută pentru a solicita utilizatorilor să viziteze o pagină web și să introducă un cod CAPTCHA înainte de descărcarea efectivă. Symantec a stabilit că aceste noi variante, pe care le-a identificat drept „CryptoLocker.F”, nu aveau nicio legătură cu originalul [24] [26] [28] [29] .