Ο ερευνητής ασφάλειας Ανδρέας Βενιέρης εντόπισε νέα εκδοχή Ransomware

Ο Έλληνας ερευνητής ασφάλειας κ. Ανδρέας Βενιέρης,εντόπισε μια νέα εκδοχή του γνωστού ιού της Αστυνομίας,ή Ransomware που καταλαμβάνει υπολογιστές ανυποψίαστων χρηστών ζητώντας μάλιστα ως λύτρα για την “απελευθέρωσή τους” το ποσό των 1500€

Ο ερευνητής, ανέλυσε το κακόβουλο λογισμικό, προσδιορίζοντας την προέλευσή του και τα αποτελέσματα της μελέτης δημοσιοποιούνται σε ΑΠΟΚΛΕΙΣΤΙΚΟΤΗΤΑ από τους φίλους μας στο SecNews.

Προέλευση & εντοπισμός επίθεσης

Η νέα εκδοχή του “ιού της αστυνομίας” αναγνωρίστηκε σε εξυπηρετητή (server) του εξωτερικού από τον κ. Βενιέρη. Στο εξυπηρετητή είναι εγκατεστημένο λογισμικό που εξαπολύει επιθέσεις για κλοπή χρηματικών ποσών από “ανυποψίαστους χρήστες μέσω απειλής και ψυχολογικής βίας”, όπως αναφέρει χαρακτηριστικά ο ερευνητής.

Η επίθεση “εξαπολύεται” από τα παρακάτω domains και υπερσυνδέσμους:

******

Οι ανωτέρω σύνδεσμοι αποστέλλονται στα ανυποψίαστα θύματα είτε μέσω ηλεκτρονικού μηνύματος e-mail (phishing attack) είτε βρίσκονται εντός ιστοσελίδων αμφιβόλου περιεχομένου (ιστοσελίδες πορνογραφίας, στοιχηματισμού κλπ).

Χώρα προέλευσης/στοιχεία εξυπηρετητή

Η νέα εκδοχή του “ιου της αστυνομίας” ή Ransomware βρίσκεται τοποθετημένη στον εξυπηρετητή με IP 146.185.220.194. Το ηλεκτρονικό ίχνος υποδεικνύει ότι η εν λόγω IP ανήκει στο domain hosted-by.mdsnet.org. Ο τομέας τοποθετείται στην Ρωσία και συγκεκριμένα στην Αγία Πετρούπολη στον πάροχο υπηρεσιών Internet Petersburg Internet Network Ltd.

H αναζήτηση με χρήση reverse IP έδωσε επιπλέον τα domains:

******

αλλά και επιπλέον 12 domains που επίσης διακινούν malware!

Ανάλυση κακόβουλου λογισμικού

Με μια γρήγορη μελέτη στο κακόβουλο πρόγραμμα από τον κ. Βενιέρη εντοπίστηκε ένα ιδιαίτερα ενδιαφέρον χαρακτηριστικό:

<form action=”******″ method=”post” onsubmit=”return check(); window.onbeforeunload = null; window.document.body.onbeforeunload = null;”>

Σε αυτό το σημείο εντοπίζεται η βασική λειτουργικότητα της νέας εκδοχής του ιού Ransomware.

Βλέπουμε πως μόλις ο χρήστης κάνει Submit την σελίδα καλείται πρώτα η javascriptfunctioncheck();

H function αυτή κάνει έναν πρώτο έλεγχο αν ο χρήστης έχει συμπληρώσει σωστά τις τιμές της paysafecard. Αν αυτό έχει συμβεί τότε πραγματοποιεί ανακατεύθυνση στον χρήστη.
Παρατηρείστε την γραμμή:

******

H παραπάνω γραμμή οδήγησε τον ερευνητή, στην υπόθεση ότι πιθανόν να υπάρχουν κι άλλα… βήματα! Και πράγματι!!

Όταν step=1 ζητούνται 300€.

Προφανώς μετά το κακόβουλο πρόγραμμα οδηγείται στο Step 2 (******) οπού εκεί ζητούνται 500€ και τέλος υπάρχει και το step 3, οπού εκεί ζητούνται 700€.

Σύνολο 1500€ για τους ηλεκτρονικούς απατεώνες ανά ανυποψίαστο χρήστη

Το πρόγραμμα όπως αναφέρθηκε, διαθέτει μια κάποιου τύπου “νοημοσύνη” αναφορικά με τον τρόπο συμπεριφοράς που παρουσιάζει ανάλογα με την χώρα προέλευσης του θύματος:

Όταν καλείτε από χώρες που υπάρχει η πληροφορία για τις αστυνομικές αρχές (πχ Ελλάδα, Ιταλία κλπ) τότε μπαίνει σε λειτουργία το malware και απαιτεί από τον χρήστη χρηματικό ποσό σε 3 στάδια συνολικού ύψους 1500€
Όταν καλείτε από χώρες που δεν υπάρχει η πληροφορία για τις αστυνομικές αρχές (πχ Ρουμανία) τότε κάνει ανακατεύθυνση του χρήστη σε ιστοσελίδες πορνογραφικού περιεχομένου.
Την διαπίστωση αυτή έκανε ο ερευνητής με χρήση Proxies από διαφορετικές χώρες.

Εικόνες του κακόβουλου λογισμικού

http://cdn.secnews.gr/wp-content/upl...s-1024x739.jpg

http://cdn.secnews.gr/wp-content/upl...s-1024x960.jpg

http://cdn.secnews.gr/wp-content/upl...s-1024x915.jpg

Αξίζει να παρατηρήσουμε ότι εμφανίζονται τα logos από γνωστές Ελληνικές εταιρείες ως σημεία πώλησης των Paysafe καρτών. Τα Logos αντλούνται από την επίσημη σελίδα της Paysafe. Αν παρατηρήσουμε το αντίστοιχο μήνυμα μέσω Ιταλίας τα σημεία πώλησης αλλάζουν (πάλι μέσα από την επίσημη ιστοσελίδα της Paysafe).

http://cdn.secnews.gr/wp-content/upl...s-1024x773.jpg



Σε αυτό το σημείο αξίζει να σημειώσουμε οτι η ανάλυση που παρέθεσε ο Security expert, έχει περιοριστεί στο επίπεδο του χρήστη και όχι του ειδικού ασφαλείας. Δεν αποτελεί δηλαδή εκτεταμένη ανάλυση του κώδικα του Ransomware ούτε και εκτεταμένη ανάλυση των δεδομένων του server.
O ερευνητής πραγματοποίησε εκτεταμένη ανάλυση στο συγκεκριμένο malware και εντόπισε διαφορετική συμπεριφορά του λογισμικού (σε επίπεδο κώδικα υλοποίησης) ανάλογα με τον web browser του θύματος και την διεύθυνση προέλευσης (Source IP).Επιπλέον σε εκτενή ανάλυση που πραγματοποιήθηκε με εργαλεία ελέγχου αδυναμιών σε υπηρεσίες web, προέκυψαν συγκεκριμένα ευρήματα τα οποία ίσως δεν ενδιαφέρουν και τόσο.
Τα ανωτέρω οφείλουμε να τα αναφέρουμε ώστε να μην υπάρξουν κρίσεις της αναφοράς του ερευνητή ως “απλοϊκή”. Ο στόχος του ερευνητή είναι η ενημέρωση του αναγνωστικού κοινού για να προστατευθεί σε περίπτωση μόλυνσης με το malware και σε καμία περίπτωση η τεχνική υπερανάλυση αυτού.
Σύμφωνα με πληροφορίες έχει ενημερωθεί ήδη η Διεύθυνση Δίωξης Ηλεκτρονικού Εγκλήματος και οι αρχές ερευνούν τα ηλεκτρονικά ίχνη προέλευσης, αν δηλαδή έχει ξεκινήσει η διασπορά της νέας εκδοχής του κακόβουλου λογισμικού ή πρόκειται για μεμονωμένα περιστατικά.

http://iguru.gr/2014/06/23/andreas-v...ew-ransomware/

http://www.secnews.gr/archives/80322

Προς ενημέρωση σας όλα τα σχετικά links έχουν αφαιρεθεί για λόγους ασφαλείας και προστασίας των χρηστών-επισκεπτών-μελών της παρούσας ιστοσελίδας αν θέλετε να δείτε τους υπερσυνδέσμους (links) που περιέχουν πιθανό επιβλαβές λογισμικό μπορείτε να το κάνετε με δική σας ευθύνη αν πάτε στην πηγή της δημοσίευσης.