Wanacrypt ransomware எவ்வாறு இயங்குகிறது?

Wanacrypt புழு போன்ற திறன்களைக் கொண்டுள்ளது, மேலும் இது பிணையத்தில் பரவ முயற்சிக்கிறது என்பதாகும். இதைச் செய்ய, இந்த பாதிப்புக்குள்ளான அனைத்து இயந்திரங்களுக்கும் பரவுவதற்கான நோக்கத்துடன் இது எடர்னல் ப்ளூ சுரண்டலை (MS17-010) பயன்படுத்துகிறது.

பொருளடக்கம்

Wanacrypt ransomware எவ்வாறு இயங்குகிறது?

இந்த ransomware இன் கவனத்தை ஈர்க்கும் ஒன்று , இது பாதிக்கப்பட்ட இயந்திரத்தின் உள்ளூர் நெட்வொர்க்கிற்குள் தேடுவது மட்டுமல்லாமல், இணையத்தில் பொது ஐபி முகவரிகளை ஸ்கேன் செய்வதையும் தொடர்கிறது.

இந்த செயல்கள் அனைத்தும் ராம்சான்வேர் அதன் செயல்பாட்டிற்குப் பிறகு நிறுவும் சேவையால் மேற்கொள்ளப்படுகின்றன. சேவை நிறுவப்பட்டு செயல்படுத்தப்பட்டதும், 2 நூல்கள் உருவாக்கப்படுகின்றன, அவை பிற அமைப்புகளுக்கு நகலெடுக்கும் செயல்முறையின் பொறுப்பாகும்.

பகுப்பாய்வில், இந்த துறையில் உள்ள வல்லுநர்கள் NSA ஆல் பயன்படுத்தப்படும் அதே குறியீட்டை எவ்வாறு பயன்படுத்துகிறார்கள் என்பதைக் கவனித்துள்ளனர். ஒரே ஒரு வித்தியாசம் என்னவென்றால், எல்.எஸ்.ஏ.எஸ்.எஸ் (உள்ளூர் பாதுகாப்பு ஆணையம் துணை அமைப்பு சேவை) செயல்பாட்டில் தங்களைத் தாங்களே புகுத்திக் கொள்வதே அவர்களின் நோக்கம் என்பதால் அவர்கள் டபுள் பல்சர் சுரண்டலைப் பயன்படுத்த வேண்டிய அவசியமில்லை.

LSASS என்றால் என்ன என்று தெரியாதவர்களுக்கு , இது விண்டோஸ் பாதுகாப்பு நெறிமுறைகள் சரியாக செயல்பட வைக்கும் செயல்முறையாகும் , எனவே இந்த செயல்முறை எப்போதும் செயல்படுத்தப்பட வேண்டும். நாம் அறிந்தபடி, EternalBlue payload குறியீடு மாற்றப்படவில்லை.

தற்போதுள்ள பகுப்பாய்வுகளுடன் ஒப்பிட்டுப் பார்த்தால், ஒப்கோட் எவ்வாறு ஒப்கோடிற்கு ஒத்திருக்கிறது என்பதைக் காணலாம்…

ஆப்கோட் என்றால் என்ன?

ஒரு ஆப்கோட் அல்லது ஆப்கோட் என்பது ஒரு இயந்திர மொழி அறிவுறுத்தலின் ஒரு பகுதியாகும், இது செய்ய வேண்டிய செயல்பாட்டைக் குறிப்பிடுகிறது.

நாங்கள் தொடர்கிறோம்…

இந்த ransomware அதே செயல்பாடு LSASS செயல்பாட்டில் அனுப்பப்பட்ட.dll நூலகங்களை இறுதியாக புகுத்தவும், அதன் "பிளே கேம்" செயல்பாட்டை செயல்படுத்தவும், அவை தாக்கப்பட்ட கணினியில் மீண்டும் தொற்று செயல்முறையைத் தொடங்குகின்றன.

கர்னல்-குறியீடு சுரண்டலைப் பயன்படுத்துவதன் மூலம், தீம்பொருளால் நிகழ்த்தப்படும் அனைத்து செயல்பாடுகளும் சிஸ்டம் அல்லது கணினி சலுகைகளைக் கொண்டுள்ளன.

கணினியின் குறியாக்கத்தைத் தொடங்குவதற்கு முன், ransomware கணினியில் இரண்டு மியூடெக்ஸ்கள் இருப்பதை சரிபார்க்கிறது. ஒரு மியூடெக்ஸ் ஒரு பரஸ்பர விலக்கு வழிமுறை, இது ஒரு நிரலில் இரண்டு செயல்முறைகளை அதன் முக்கியமான பிரிவுகளை அணுகுவதைத் தடுக்க உதவுகிறது (அவை பகிர்வு வளத்தை மாற்றியமைக்கக்கூடிய குறியீட்டின் ஒரு பகுதி).

இந்த இரண்டு மியூடெக்ஸ் இருந்தால், அது எந்த குறியாக்கத்தையும் செய்யாது:

'குளோபல் \ MsWinZonesCacheCounterMutexA'

'குளோபல் \ MsWinZonesCacheCounterMutexW'

Ransomware, அதன் பங்கிற்கு, ஒவ்வொரு மறைகுறியாக்கப்பட்ட கோப்பிற்கும் ஒரு தனித்துவமான சீரற்ற விசையை உருவாக்குகிறது. இந்த விசை 128 பிட்டுகள் மற்றும் AES குறியாக்க வழிமுறையைப் பயன்படுத்துகிறது, இந்த விசையானது பொது RSA விசையுடன் தனிப்பயன் தலைப்பில் குறியாக்கம் செய்யப்பட்டுள்ளது, இது மறைகுறியாக்கப்பட்ட எல்லா கோப்புகளுக்கும் ransomware சேர்க்கிறது.

கோப்புகளில் பயன்படுத்தப்படும் AES விசையை குறியாக்கப் பயன்படும் பொது விசையுடன் தொடர்புடைய RSA தனிப்பட்ட விசை உங்களிடம் இருந்தால் மட்டுமே கோப்புகளின் மறைகுறியாக்கம் சாத்தியமாகும்.

AES சீரற்ற விசை விண்டோஸ் செயல்பாடு "CryptGenRandom" உடன் உருவாக்கப்படுகிறது, இது தற்போது அறியப்பட்ட பாதிப்புகள் அல்லது பலவீனங்களைக் கொண்டிருக்கவில்லை, எனவே தற்போது தாக்குதலின் போது பயன்படுத்தப்படும் RSA தனிப்பட்ட விசையை அறியாமல் இந்த கோப்புகளை மறைகுறியாக்க எந்த கருவியையும் உருவாக்க முடியாது.

Wanacrypt ransomware எவ்வாறு இயங்குகிறது?

இந்த செயல்முறையை நிறைவேற்றுவதற்காக, ransomware கணினியில் பல மரணதண்டனை நூல்களை உருவாக்குகிறது மற்றும் ஆவணங்களின் குறியாக்கத்தை மேற்கொள்ள பின்வரும் செயல்முறையை மேற்கொள்ளத் தொடங்குகிறது:

1. அசல் கோப்பைப் படித்து நீட்டிப்பைச் சேர்ப்பதன் மூலம் அதை நகலெடுக்கவும்.wnryt ஒரு சீரற்ற AES 128 விசையை உருவாக்கவும் AESA உடன் நகலெடுக்கப்பட்ட கோப்பை குறியாக்குக விசையுடன் குறியாக்கப்பட்ட விசை AES உடன் ஒரு தலைப்பைச் சேர்க்கவும்

   மாதிரியைக் கொண்ட RSA ஐ வெளியிடுகிறது. இந்த மறைகுறியாக்கப்பட்ட நகலுடன் அசல் கோப்பை மேலெழுதும் இறுதியாக அசல் கோப்பை நீட்டிப்புடன் மறுபெயரிடுகிறது.wnry ransomware குறியாக்கத்தை முடித்த ஒவ்வொரு கோப்பகத்திற்கும், அதே இரண்டு கோப்புகளையும் உருவாக்குகிறது:

   @ தயவுசெய்து_ படிக்க_மொழி @.txt

   @ WanaDecryptor @.exe

விண்டோஸ் 10 இல் விண்டோஸ் டிஃபென்டரைப் பயன்படுத்துவதற்கான முக்கிய காரணங்களைப் படிக்க பரிந்துரைக்கிறோம்.