Криптовымогатели - ransomware новая сфера деятельности компьютерных злоумышленников

Дата: 23.05.2007
Источник: Computerra.ru
Автор: Родион Насакин


... и папок. Ну и из мелочей можно отметить, что содержимое меню "Пуск" меняется, вместо часов в трее появляется ругательство, а на винчестере создаются папки - "Типа Windows", "Типа Windows2" и "Типо Мои Документы". Требования злоумышленник также оглашает при загрузке Windows, предлагая восстановить нормальную работу компьютера, переслав на "Одноразовый" e-mail активационный код карты оплаты оператора "Киевстар" на 25 гривен. Из этого становится ясно, что, несмотря на массовое распространение, Krotten имеет украинское происхождение и нацелен на тамошнее же население. Избавиться от троянца можно, скачав бесплатную утилиту KLWK по адресу.

А совсем недавно стало известно о появлении очередного оригинального приема из серии ransomware. На сей раз жертвами стали пользователи бесплатного почтового сервиса Hotmail. В конце декабря 2006 года при проверке почты на сервере некоторые из них неожиданно не обнаружили ни писем, ни списка контактов. В ящике лежало одно-единственное сообщение, причем на испанском языке. В нем сообщалось, что если пользователь хочет узнать местонахождение своей адресной книги и базы писем, то придется заплатить. Интересно, что конкретной суммы злоумышленники не называли, предпочитая договариваться с каждым, что называется, на индивидуальной основе. Занявшейся этим случаем компании Websence удалось выяснить, что логин и пароль к аккаунту Hotmail злоумышленники получали с помощью кейлоггеров (программ, считывающих нажатия клавиш и отправляющих логи своему владельцу), предварительно установленных на компьютерах интернет-кафе. В заявлении, посвященном результатам расследования случая, представитель Websence заметил, что уже ставший привычным вариант ransomware с проникновением троянца на пользовательский компьютер оказался далеко не единственным.

На пределе возможностей

И наконец, самый известный "шантажист" - Gpcode, автора которого "Лаборатория Касперского" расценивают чуть ли как не личного противника, является на сегодняшний день, пожалуй, наиболее совершенным в плане используемых криптографических технологий. Злоумышленник работал с русскоязычными пользователями и распространял троянца через спам. Жертвам приходило письмо, отправленное якобы с рекрутингового сайта, в котором сообщалось, что для пользователя есть вакансия и предлагалось заполнить прилагаемую анкету в doc-формате. Эта уловка работала довольно хорошо, так как адреса людей преступник брал из базы резюме Job.ru. При открытии этого файла запускался макрос, который устанавливал в систему собственно Gpcode.

Дорвавшись до винчестера, программа выискивала на нем все файлы с расширениями txt, doc, xls, rar, htm, pdf и др. - всего около восьмидесяти, а также базы данных электронной почты и шифровала их с удалением оригинала. При этом в каждом каталоге появлялся файл readme.txt, в котором хакер сообщал, что именно он натворил, и предлагал купить декодер, связавшись по почте. Адреса преступник постоянно менял, а для расчета с жертвами предпочитал использовать кошельки системы "Яндекс.Деньги". Интересно, что установить источник заражения удалось не сразу, так как с момента получения письма до шифрования проходило определенное время, и ассоциаций с посланием Job.ru у жертв, как правило, не возникало.

Первая версия Gpcode появилась еще в конце 2004 года. Она шифровала данные алгоритмом собственной разработки, хотя и включала в названия файлов "PGPcoder", что заставляло предположить использование более профессиональных криптосредств. Так что поначалу проблем со взломом шифра не возникло. Однако постепенно в интернете появлялись все более и более изощренные модификации программы, и наконец, летом прошлого года в "Лаборатории Касперского" столкнулись с версией Gpcode.ag, которая шифровала данные с помощью алгоритма RSA с ключом длиной 660 бит.

Но каким-то образом специалисты все же взломали и его. По слухам, ключ факторизовали двое суток на арендованном у РАН кластере из 574 узлов с процессорами 2xPowerPC 970 2,2 ГГц и 4 Гб оперативной памяти. А также они смогли в сотрудничестве с компанией-хостером удалить файл вируса с ресурса, с которого он загружался после команды троянца. Автор ransomware, видимо, был достаточно горд своим последним детищем, и даже устраивал тем пользователям, которые согласились ему заплатить, небольшой ликбез по основам криптографии. В целях просвещения он создал свой сайт, где объяснял принцип работы RSA.

Безвредное ransomware

На самом деле, термин "ransomware" появился раньше, чем вредоносные программы, требующие денег за восстановление доступа к данным. Первоначально под этим словом понималась просто-напросто одна из схем распространения ПО, альтернативная более известным shareware, freeware и donateware (с добровольными поощрениями авторов). Поскольку сейчас опять начали появляться программы, продаваемые по принципу "выкупа", и схема вновь становится популярной, хотелось бы остановиться на ней подробнее.

Модель ransomware представляет собой попытку компромисса между разработчиками софта, испытывающими понятное желание заработать на своем труде, и пользователями, которые не любят тратиться на ПО. Согласно этой схеме программа идет на рынок, как платная, однако после того, как доход от ее продаж достигает заранее обозначенной суммы, которую автор расценивает, как достойное вознаграждение за свои старания, софт переходит в категорию freeware. И не просто freeware. Исходный код программы по завершении этапа накопления раскрывается.

При реализации этой модели на практике существует несколько вариантов. В стандартном виде все происходит следующим образом. Автор разрабатывает продукт и затем предлагает его для выкупа по специальной лицензии, в которой помимо всего прочего указывается срок ее действия. Если за это время деньги собрать не удастся, программа становится бесплатной в любом случае, а автор понимает, что значимость своего детища для рынка он переоценил. Кроме того в лицензии могут быть обозначены минимальная и максимальная сумма, которую могут внести благодарные пользователи.

Сотрудники "Лаборатории Касперского" на RSA Conference 2007 заявили, что взломали ключ Gpcode за десять минут, потому что хакер "не дочитал криптографический учебник до конца", однако признались, что последняя победа досталась им с большим трудом, и не факт, что уже в обозримом будущем удастся решить проблему с более совершенными экземплярами ransomware в пределах разумного времени. На этом мероприятии борьба с программами-вымогателями была впервые названа ключевой тенденцией нынешнего года в сфере информационной безопасности. Удручает их и тот факт, что авторы Gpcode, Cryzip и Krotten все еще на свободе. Интересно, что автор Gpcode требовал с жертв всего-навсего по 2000 руб., видимо, опасаясь, что при попытке запросить более крупную сумму у кого-то из жертв может появиться желание подать заявление в правоохранительные органы. Это напоминает случай с появившимся в июне прошлого года аналогичным "вредителем" Trojan.Skowr, автор которого в текстовом файле, содержащем инструкции по "выкупу" данных, отмечал, что пользователь - счастливчик, и восстановление обойдется ему от $20 до $80. При этом злоумышленник отдельно подчеркивал, что его "коллеги" так не церемонятся и требуют сразу $400. Что же касается будущего борьбы с этой напастью, то наиболее эффективным кажется препятствование проникновению ransomware, и антивирусные компании работают более активно в этом направлении, справедливо полагая, что разгребать (а вернее, расшифровывать) последствия на порядок сложнее и не всегда возможно.

Кстати, о легкости обнаружения. В экспертных публикациях неоднократно подчеркивалось, что ransomware - один из наиболее простых в разработке видов вредоносного ПО, и в нем, по мере роста популярности этого направления у компьютерных маргиналов, все чаще пробуют свои силы люди с минимальными навыками программирования. Так что теоретически в обозримом будущем интернет может закишеть такими любительскими поделками вымогателей-дилетантов. Уже есть и первые анекдотичные примеры недоработок. Например, троянец Schoolboys, авторы которого в файле, содержащем их требования, написали сумму выкупа, но забыли упомянуть реквизиты, по которым нужно перевести деньги.

- Из журнала "Компьютерра"

Добавить комментарий

Всего 0 комментариев