شرح کلی
نوع: باج‌افزار (Ransomware)
درجه تخریب: بسیاربالا
میزان شیوع: کم
اسامی بدافزار
- Ransomware.Win64.CryptX (Padvish)
- Generic.EPFtana trojan(ESET)
- UDS:DangerousObject.multi.generic(Kaspersky)
باج‌افزار چیست؟
باج‌افزارها نوعی از بدافزار هستند که اقدام به رمزگذاری اطلاعات مهم کاربر می‌کنند و جهت بازگردانی آن فایل‌ها از کاربر طلب باج می‌کنند. باج‌افزارها یکی از زیان‌بارترین بدافزارها هستند که می‌توانند خسارت‌های مالی هنگفتی ایجاد کنند. به طور کلی روش رمزگذاری اغلب روشی غیر قابل رمزگشایی است.
یکی از راه‌های رایج برای پرداخت باج، استفاده از پول الکترونیکی به دلیل مخفی ماندن و عدم شناسایی طرفین است. در اکثر باج‌افزارها هیچ راهی برای بازگشت فایل وجود ندارد و کاربر به منظور بازگردانی اطلاعات مهم مجبور به پرداخت مبلغ به حساب باج‌گیر است.
بدافزار CryptX چیست؟
بدافزار CryptX، از نوع باج‌افزار است و از الگوریتم AES و چند روش ادغامی جهت رمزنگاری فایل‌های سیستم قربانی استفاده می‌کند. همچنین جهت کاهش حساسیت آنتی‌ویروس و به نوعی مخفی ماندن از آن، فایل‌های سیستمی و Hidden را اسکن و رمزگذاری نمی‌کند.
توضیحات فنی
علائم آلودگی
❌ اضافه شدن پسوند CryptX. به انتهای فایل‌ها و غیر قابل اجرا بودن آن‌ها
❌ قرار گرفتن فایلی با عنوان READ.txt در تمامی مسیرهایی که فایلی رمز شده است.
شرح عملکرد
این باج‌افزار پس از تنظیم محیط کنسول سفارشی‌سازی شده خود، در ابتدای فرآیند اجرا از کاربر درخواست رمزعبور می‌کند. بنابراین بدیهی هست که مهاجم جهت اجرای باج‌افزار باید به سیستم قربانی دسترسی کامل داشته باشد.
پس از وارد کردن رمزعبور، در صورتی که با رمز پیش‌فرض مشخص شده برابر نباشد، کاربر با پیغام زیر مواجه می‌شود و مجدداً رمز عبور درخواست می‌شود.
این روند همان‌طور که در تصویر بالا مشخص است، تا سه مرتبه تکرار خواهد شد و در صورتی که رمز عبور با رمز پیش‌فرض تعریف شده برابر نباشد، فرآیند اجرا متوقف شده و با نمایش پیغام‌های مشخص شده در تصویر و فشردن کلید Enter، پردازه باج‌افزار متوقف می‌شود.
پس از بررسی کد مشخص گردید، رمز عبور مدنظر بدون هیچ گونه محافظت و مبهم‌سازی، درون کد قرار داده شده است. در صورت وارد کردن رمزعبور صحیح، بررسی اولیه سیستم و اعمال محافظت بر روی مسیر و فایل باج‌افزار صورت می‌گیرد.
سپس، صفحه کنسول جاری با اطلاعاتی از سیستم هدف و همینطور بخشی از قابلیت‌ها و تنظیمات باج‌افزار به روزرسانی می‌شود.
در انتها، از کاربر جهت شروع فرآیند رمزگذاری درخواست می‌شود تا کلمه “YES” را تایپ کرده و با فشردن کلید Enter، روند اسکن سیستم و سپس رمزگذاری فایل‌ها شروع خواهد شد.
همان‌طور که در تصویر بالا نشان داده شده است، این باج‌افزار قبل از رمزگذاری در چهار فاز جداگانه، پروفایل‌های کاربری سیستم و مسیرهای مربوط به آن‌ها، تمامی درایوهای سیستم، مسیرهای share شده با سیستم هدف و برخی مسیرهای سیستمی را جستجو می‌کند.
در ادامه، لیستی از فضاهای ذخیره‌سازی ابری که مورد هدف باج‌افزار می باشد، نشان داده شده است.
مسیرهایی که در لیست سفید باج‌افزار قرار دارند نیز، در تصویر زیر قابل مشاهده است.
لیستی از پردازه‌های مختلف در کد باج‌افزار تعریف شده است که در صورتی که در زمان اجرای باج‌افزار، در حال اجرا باشند، متوقف می‌شوند. لیست کامل این پردازه‌ها به صورت زیر است:
| wuauclt.exe | chrome.exe | onenote.exe | sqlservr.exe |
| taskmgr.exe | msedge.exe | visio.exe | mysqld.exe |
| cmd.exe | iexplore.exe | winproj.exe | postgres.exe |
| powershell.exe | opera.exe | msosync.exe | oracle.exe |
| pwsh.exe | brave.exe | officeclicktorun.exe | mongod.exe |
| vssvc.exe | thunderbird.exe | onedrive.exe | firebird.exe |
| wbengine.exe | tbirdconfig.exe | dropbox.exe | sqlceip.exe |
| msmpeng.exe | thebat.exe | googledrivesync.exe | sqlwriter.exe |
| nissrv.exe | photoshop.exe | icloud.exe | sqlagent.exe |
| sense.exe | illustrator.exe | boxsync.exe | fdlauncher.exe |
| searchindexer.exe | indesign.exe | synctime.exe | fdhost.exe |
| searchprotocolhost.exe | acrobat.exe | mydesktopservice.exe | dbsnmp.exe |
| searchfilterhost.exe | acrord32.exe | mydesktopqos.exe | dbeng50.exe |
| dllhost.exe | devenv.exe | agntsvc.exe | sqbcoreservice.exe |
| sppsvc.exe | code.exe | isqlplussvc.exe | sqlbrowser.exe |
| trustedinstaller.exe | msbuild.exe | xfssvccon.exe | msmdsrv.exe |
| tiworker.exe | node.exe | ocautoupds.exe | excel.exe |
| msiexec.exe | python.exe | encsvc.exe | winword.exe |
| wmiadap.exe | python3.exe | ocomm.exe | powerpnt.exe |
| wmiprvse.exe | steam.exe | oraclejre.exe | outlook.exe |
| javaw.exe | msaccess.exe | notepad.exe | |
| java.exe | mspub.exe | wordpad.exe | |
| firefox.exe | infopath.exe | calc.exe |
با توجه به اینکه هر کدام از پردازه‌های بالا تحت عنوان یک برنامه نصب شده یا مربوط به خود سیستم عامل، ممکن است در زمان اجرای باج‌افزار در حال اجرا باشند و به سبب وجود Handle بر روی فایل‌های مربوط به خود، مانع رمزگذاری آن‌ها توسط باج‌افزار گردند، لذا قبل از شروع فرآیند رمزگذاری، ابتدا وجود آن‌ها در بین پردازه‌های در حال اجرا در سیستم مورد بررسی قرار گرفته و در صورتی که هر پردازه‌ای مربوط به لیست بالا در حال اجرا باشد متوقف شده و پس از اتمام بررسی لیست، رمزگذاری فایل ها شروع خواهد شد.
بررسی‌های صورت گرفته حین فرآیند رمزگذاری، نشان می‌دهد رمزگذاری از هدر فایل‌ها شروع می‌شود و باج‌افزار هر فایلی را که می‌خواهد رمزگذاری کند، ابتدا آن را تغییر نام داده و پسوند cryptx_temp. را به انتهای نام فایل افزوده و در ادامه محتوای خوانده شده از فایل، رمزگذاری شده و در فایل جدیدی با الگوی CryptX.{نام فایل} نوشته خواهد شد. در انتها، فایل تغییر نام یافته قبلی حذف می‌گردد.
پس از رمزگذاری فایل‌ها، فایل Payment باج‌افزار با نام READ.txt جهت ارتباط با مهاجم، در تمامی مسیرهای سیستم که فایلی در آن رمز شده است، قرار می‌گیرد. سپس، گزارشی از رمزگذاری سیستم به شکل زیر بر روی صفحه کنسول بدافزار ایجاد خواهد شد.
پس از آن، اطلاعاتی از پسوندهایی که توسط باج‌افزار رمزگذاری نشده (WhiteList) و نحوه رمزگشایی فایل‌ها نمایش داده می‌شود.
در انتها، مکانیزم چند مرحله‌ای حذف ردپای باج‌افزار به صورت زیر، جهت حذف از سیستم و عدم دسترسی به فایل انجام می‌گیرد.
همان‌طور که تصویر بالا نشان می‌دهد، ابتدا از طریق دستور پاورشل زیر سعی در حذف فایل بدافزار شده که ناموفق بوده است. سپس از طریق دستور زیر در محیط cmd تلاشی جهت حذف فایل صورت گرفته که مجدداً ناموفق بوده است.
و در نهایت از طریق اسکریپت زیر، ابتدا فایل بدافزار و سپس اسکریپت از سیستم حذف شده است.
مکانیزم حذف بدافزار در کنسول آن به شکل زیر نمایش داده می‌شود.
شرح عملکرد نسخه دوم و تفاوت‌های آن با نسخه اول
🔷 در نسخه دوم این باج‌افزار مواردی تغییر کرده است که به شرح زیر است:
مطابق تصویر بالا، نمایش جزئیات بسیاری از موارد از صفحه کنسول باج‌افزار حذف شده است. مهم‌ترین تفاوت‌ها نسبت به نسخه قبل موارد زیر می‌باشد:
- در صورت وارد کردن پسورد اشتباه، برخلاف نسخه اول برنامه متوقف شده و امکان ورود مجدد پسورد حذف گردیده است.
- نوع رمزگذاری فایل‌ها براساس حجم آن‌ها برنامه‌ریزی شده است. همان‌طور که در حالت Adaptive Mode در تصویر بالا مشخص می‌باشد، فایل‌های کمتر از 100مگابایت به طور کامل، بین 100 مگابایت تا 1 گیگ نیمی از حجم فایل و برای فایل‌های بالاتر از 1 گیگابایت فقط هدر فایل رمز گذاری خواهد شد.
- در این نسخه، به سراغ نسخه پشتیبان فایل‌ها رفته که در همان ابتدا در صورت نصب بودن آنتی‌ویروس پادویش، توسط آن شناسایی، پردازه متوقف و فایل باج‌افزار از سیستم حذف و قرنطینه می‌شود.
مقابله و پاکسازی سیستم
آنتی‌ویروس پادویش بدافزار CryptX را شناسایی کرده و از سیستم حذف می‌کند.
جهت پیشگیری از آلودگی احتمالی به این بدافزار، توصیه می‌شود آنتی‌ویروس خود را به طور مداوم و روزانه به روزرسانی کرده و دستورالعمل‌های ایمن سازی سیستم و شبکه را دایماً بررسی و در صورت نیاز به روزرسانی کنید.