Software & Systems

Первые сообщения о появлении нового семейства вредоносных программ, шифрующих файлы пользователей и требующих выкупа за их расшифровку, датируются 2006–2007 годами. Однако на тот момент в силу различных причин (неотработанность каналов распространения создателями таких программ, несовершенство реализации алгоритмов шифрования и способов оплаты выкупа и т.п.) количество заражений этими вредоносными программами было относительно невелико.

Массовый характер заражения такого типа стали приобретать с 3-го квартала 2013 года, а за 2014 год, по данным Лаборатории Касперского, было зарегистрировано свыше 7 млн атак на пользователей с помощью таких программ (рис. 1) [1].

Всеми антивирусными компаниями также отме- чен значительный рост числа модификаций вредоносных программ в период с 2013 по 2015 годы. Так, например, по данным Лаборатории Касперского, за это время число модификаций таких программ возросло более чем в десять раз (рис. 2) [2].

При этом, если первоначально все вредоносные программы такого рода разрабатывались исключительно для функционирования под операционными системами семейства Windows, то в дальнейшем, начиная с середины 2014 года, появились модификации этих программ для смартфонов и планшетных компьютеров под управлением операционной системы Android, а в конце 2015 года было зафик- сировано появление нескольких образцов вредоносных программ-шифровальщиков для компьютеров под управлением операционных систем семейства Linux [2].

Тем не менее, в силу меньшей распространенности и некоторых особенностей функционирования других операционных систем подавляющее большинство случаев заражения вредоносными программами-шифровальщиками (порядка 98 %) приходится на компьютеры под управлением операционных систем семейства Windows.

Первое время основным каналом распространения таких вредоносных программ были спам-рассылки с вредоносными вложениями, маскирующимися под какие-либо документы (финансовые отчеты, банковские выписки по счетам, отчеты от служб доставки и т.п.) [3– 5].

В начале 2014 года к каналу распространения посредством вредоносных спам-рассылок добавился канал распространения с помощью заражения популярных и часто посещаемых веб-страниц так называемыми наборами эксплойтов (эксплойт-паками) [3]. Их работа основана на использовании уязвимостей в ПО, установленном на компьютерах потенциальных жертв. Наиболее часто для распространения этих вредоносных программ используются наборы эксплойтов под названием Angler EK, Sweet Orange EK и Nuclear EK [5, 6].

Общая схема работы вредоносных программ-шифровальщиков показана на рисунке 3. После проникновения на компьютер потенциальной жертвы вредоносная программа записывает себя на жесткий диск компьютера, для обеспечения своего запуска при старте системы создает ключ автозагрузки в реестре, после чего производятся поиск нужных файлов и их шифрование. Далее устанавливается связь с командным центром. После всего этого программа оповещает жертву о том, что определенные файлы на компьютере зашифрованы, и требует произвести оплату за их расшифровку. Для оплаты, как правило, предлагается воспользоваться каким-либо сервисом интернет-платежей или какой-либо криптовалютой (в основном – биткойнами). После подтверждения факта оплаты производится расшифровка файлов.

Наибольшую активность с середины 2013 года и по настоящее время проявляли семь видов вредоносных программ-шифровальщиков файлов, заражающих компьютеры под управлением операционных систем семейства Windows (табл. 1) [2, 3, 6, 7].

Таблица 1

Вредоносные программы типа «блокиратор-шифровальщик файлов», проявившие наибольшую активность с середины 2013 г. по настоящее время

Table 1

The most aggressive malicious programs of “file locker-encoder” type from the middle of 2013 to the present time

Общая хронология появления этих семи вредоносных программ показана на рисунке 4 [1, 3, 6].

Далее кратко описаны результаты исследования отдельных представителей каждого из семейств вредоносных программ, перечисленных в таблице 1 (результаты исследования в полном объеме изложены в статье «Исследование и анализ кода наиболее популярных вредоносных программ типа «бло- киратор-шифровальщик файлов» в электронном журнале «Программные продукты, системы и алгоритмы» на сайте www.swsys-web.ru).

Поиск и выбор файлов для шифрования. В большинстве случаев для шифрования выбираются файлы наиболее популярных форматов офисных документов (*.pdf, *.docx, *.docm, *.xls, *.xlsx, *.xlsm) и файлы изображений (*.jpg, *.jpeg, *.png). Вредоносные программы более поздних модификаций (CryptoWall, Critroni, TorLocker), помимо этого, шифруют файлы проектов различных сред разработки ПО, а программа TorrentLocker еще и файлы широко распространенной в РФ бухгал- терской программы 1С, что может парализовать работу многих организаций [6–10]. Некоторые модификации вредоносной программы TeslaCrypt шифруют файлы, относящиеся к отдельным популярным компьютерным играм (файлы с сохраненными пройденными уровнями, пользовательские профили и т.п.) [7, 11]. Как правило, во всех вредоносных программах поиск файлов с нужным расширением реализован с помощью стандартных API-функций Windows – FindFirstFail и FindNextFile.

Шифрование файлов. Во всех исследованных вредоносных программах применяются стойкие криптографические алгоритмы (табл. 2). В большинстве случаев используются алгоритмы, основанные на комбинации симметричного алгоритма шифрования AES (с его помощью шифруется сам файл) и асимметричного алгоритма RSA или ECDH (шифрует AES-ключ, которым были зашифрованы файлы). Такая схема шифрования применяется во вредоносных программах CryptoLocker, Critroni, TorrentLocker, TorLocker, TeslaCrypt [10–15]. Вредоносная программа CryptoWall использует асимметричный алгоритм RSA с длиной ключа 2048 бит для шифрования всего файла, при этом из-за большой ресурсоемкости данного алгоритма существенно замедляется работа зараженного компьютера, что может служить косвенным подтверждением заражения этой вредоносной программой [16]. В программе DyrCrypt при реализации функций шифрования файлов допущена ошибка, в связи с чем, несмотря на использование стойкого алгоритма RSA-1024 для шифрования первых 1024 байт файла, возможно восстановление зашифрованных файлов [17].

Для реализации алгоритмов шифрования используется либо стандартная библиотека Windows CryptoAPI (вредоносные программы CryptoLocker, CryptoWall, TorLocker), либо сторонние библиотеки (TorrentLocker, TeslaCrypt), либо собственная реализация криптографических алгоритмов (DyrCrypt, Critroni).

Связь с командным центром. Для отслеживания факта оплаты выкупа и обеспечения расшифровки файлов после оплаты создатели вредоносных программ-шифровальщиков файлов организуют сеть командных центров (C&C-серверов) в сети Интернет. Вредоносные программы в ходе своей деятельности периодически осуществляют связь с этими C&C-серверами и обмениваются с ними необходимой информацией. При этом доменные имена этих командных центров могут либо генерироваться самой вредоносной программой с помощью различных алгоритмов (DirCrypt, Cripto­Locker) [9, 12, 17], либо быть прописаны непосредственно в теле самой программы (CryptoWall, Critroni, TorrentLocker, TorLocker, TeslaCrypt) [11, 13, 15, 18–20]. Сами командные центры при этом могут находиться как в открытом сегменте сети Интернет, так и в закрытой доменной зоне .onion и использовать для связи возможности анонимной сети Tor. Детали реализации обеспечения связи с C&C-серверами показаны в таблице 3.

Приемы, затрудняющие обнаружение и удаление вредоносной программы в зараженной системе. В большинстве случаев во вредоносных программах такого рода реализовано блокирование остановки функционирования рабочего процесса вредоносной программы различными способами (табл. 4).

Помимо этого, во вредоносной программе DirCrypt для затруднения анализа используется шифрование всех текстовых строк в теле программы [8, 17], в программе CryptoWall версии 2.0 производится проверка на наличие запуска программы в виртуальной среде [16], в программе TorrentLocker – проверка наличия виртуального окружения [10, 12, 20], а во вредоносной программе TorLocker код программы упакован упаковщиком UPX и в коде программы имеется большое количество ничего не значащих («висячих») команд [15].

Наиболее сложным образом скрытие программы от обнаружения и удаление реализованы во вредоносной программе CryptoWall. Для этого используются ложный процесс explorer.exe и внедрение вредоносного кода в системный процесс svchost.exe [16, 18].

На основании результатов исследования и анализа представленных наиболее распространенных и наиболее характерных образцов вредоносных программ типа «блокиратор-шифровальщик файлов» можно сделать следующие выводы:

-      угроза заражения программами данного типа и риск потерять важную информацию по-прежнему актуальны;

-      вектор возможных атак вредоносными про­граммами-шифровальщиками сместился от рас-пространения этих программ с помощью спам-рассылок в сторону их распространения с помощью зараженных веб-страниц, что повышает вероятность заражения;

-      большинство вредоносных программ этого типа непрерывно совершенствуются, и в самых последних их версиях используются весьма стойкие криптографические алгоритмы, не позволяющие расшифровать зашифрованные файлы без знания ключа расшифровки;

-      использование для связи с командными цен- трами анонимных сетей (tor или I2P), а также крип- товалюты биткойн в качестве инструмента оплаты выкупа позволяет почтии гарантированно обеспечить анонимность злоумышленников и делает очень сложным привлечение их к ответственности;

-      применение различных приемов, затрудня- ющих обнаружение и анализ этих программ, в некоторых случаях позволяет вредоносной программе скрыто осуществлять свою деятельность;

-      обнаружение таких вредоносных программ в большинстве случаев возможно только сигнатурным поиском (поскольку выполняемые ими действия характерны не только для вредоносных, но и для некоторых других легитимных программ).

Таким образом, исходя из вышеперечисленного, основные усилия при борьбе с вредоносными программами такого рода предлагается сосредоточить, во-первых, на создании условий, в которых программа-шифровальщик не сможет осуществлять свою деятельность, во-вторых, на обеспечении резервного копирования критичной информации и своевременного ее восстановления из сохраненных копий.

Этого можно достичь, выполняя следующие мероприятия:

-      своевременное обновление антивирусных баз;

-      контроль за сетевыми подключениями и разрешение сетевого обмена только ограниченному числу доверенных программ (поскольку некоторые программы-шифровальщики начинают шифрование только после установления связи с командным центром);

-      присвоение атрибута «только для чтения» файлам, изменение которых не предусмотрено в процессе работы (фотографии, аудио-, видеозаписи, документы в формате pdf и т.д.);

-      организация резервного копирования с использованием какого-либо средства, не входящего в состав операционной системы (поскольку некоторые вредоносные программы могут удалять теневые резервные копии и точки восстановления системы).

Кроме того, необходимы настройка прав доступа к резервным копиям только для программ резервного копирования (для исключения возможного зашифровывания файлов резервных копий) и к сетевым каталогам и дискам (поскольку многие вредоносные программы могут шифровать файлы на сетевых носителях), а также настройка оптимальных параметров системы резервного копирования (период копирования, файлы, подлежащие резервному копированию, время хранения резервных копий и т.п.).

Литература

1.     Семенченко А. Файлы под «ключ». Эволюция шифровальщиков и ошибки пользователей // Securelist – все об интернет-безопасности. 2015. URL: http://www.securelist.ru/analysis/obzor/25191/fajly-pod-klyuch/ (дата обращения: 21.09.2015).

2.     Kaspersky Security Bulletin 2015. Основная статистика за 2015 год. 2016. URL: http://www.securelist.ru/files2015/12/ KSB_2015_Stats_FINAL_RU.pdf (дата обращения: 15.01.2016).

3.     Вредоносная реклама и атаки «нулевого дня»: старые угрозы подрывают доверие к цепочкам поставок и проверенным практикам // Обзор безопасности компании TrendLabs за 1-й квартал 2015 г. TrendMicroIncorporated. URL: http://www. trendmicro.com.ru/media/misc/trendlabs-security-roundup-q1-2015 -report-ru.pdf (дата обращения: 21.09.2015).

4.     Spam with viruses. URL: http://www.hackmag.com/malware/spam-with-viruses/ (дата обращения: 21.09.2015).

5.     Дроботун Е.Б. Обзор свежих эксплойт-паков. Angler, Sweet Orange, Nuclear, Fiesta, Magnitude, Neutrino и многие другие // Хакер. 2015. № 4 (195). С. 78–83.

6.     Kotov V., Rajpal M.S. Understanding Crypto-Ransomware. Bromium Labs. 2014. URL: http://www.bromium.com/sites/defailt/ files/bromium-report-ransomware.pdf (дата обращения: 21.09.2015).

7.     Дроботун Е.Б. Дети лейтенанта Cryptolocker`a. Вскрываем DirCrypt, TorLocker, TeslaCrypt, TorrentLocker, Critroni и CryptoWall // Хакер. 2015. № 9 (200). C. 206–215.

8.     Trojan.Ransomcrypt.D. Technical Details. Symantec. 2013. URL: http://www.symantec.com/security_response/writeup.jsp?docid=2013-0710112-1247-99&tabid=2 (дата обращения: 21.09.2015).

9.     Jarvis K. CryptoLocker Ransomware. Dell Secure Works. 2013. URL: http://www.secureworks.com/cyber-threat-intelligence/ threats/cryptolocker-ransomware/ (дата обращения: 21.09.2015).

10.  Léveillé M.-E.M. TorrentLocker. Ransomware in a country near you. Eset Labs. 2014. URL: http://www.wilivesecurity.com/ wp-content/uploads/2014/12/torrent-locker.pdf (дата обращения: 21.09.2015).

11.  TeslaCrypt Ransomware. Dell SecureWorks. 2014. URL: http://www.secureworks.com/cyber-threat-intelligence/threats/teslacrypt-ransomware-threat-analysis/ (дата обращения: 21.09.2015).

12.  Дроботун Е.Б. Анатомия Cryptolocker`a // Хакер. 2014. № 3 (182). С. 102–104.

13.  Синицын Ф. Новое поколение вымогателей. Elliptic curve cryptography + Tor + Bitcoin // Securelist – все об интернет-безопасности. 2015. URL: http://www.securelist.ru/analysis/obzor/ 21090/novoe-pokolenie-vymogatelej/ (дата обращения: 21.09.2015).

14.  CTB-Locker encryption/decryption scheme in details. 2015. URL: http://zarion.wordpress.com/2015/02/17/ctb-locker-encryptiondecription-scheme-in-details/ (дата обращения: 21.09.2015).

15.  Алюшин В., Синицын Ф. Шифровальщик с изъяном // Securelist – все об интернет-безопасности. 2015. URL: http:// www.securelist.ru/blog/issledovaniya/25359/shifrovalshhik-s-izya nom/ (дата обращения: 21.09.2015).

16.  CryptoWall Ransomware. Dell Secure Works. 2014. URL: http://www.secureworks.com/cyber-threat-intelligence/threats/cryptowall-ransomware/ (дата обращения: 21.09.2015).

17.  Artenstein N., Shalyt M. How (and why) we defeated DirСrypt. Check Point Malware Research Group. 2014. URL: http://www.checkpoint.com/download/public_files/TCC_WP_ Hacking_The_Hacker.pdf (дата обращения: 21.09.2015).

18.  Allievi A., Carter E. Ransomware on Steroids: Cryptowall 2.0. Talos Group. 2015. URL: http://www.blogs.cisco.com/security/talos/cryptowall-2/ (дата обращения: 21.09.2015).

19.  TorrentLocker – новая модификация трояна-шифровальщика FileCoder. Ч. 1 // Блог компании EsetLabs. URL: http:// www.habrahabr.ru/company/eset/blog/246945/ (дата обращения: 21.09.2015).

20.  TorrentLocker – новая модификация трояна-шифровальщика FileCoder. Ч. 2 // Блог компании EsetLabs. URL: http:// www.habrahabr.ru/company/eset/blog/247031/ (дата обращения: 21.09.2015).

21.  Синицын Ф. TeslaCrypt 2.0 в обличии CryptoWall // Securelist – все об интернет-безопасности. 2015. URL: http://www. securelist.ru/blog/issledovaniya/26212/teslacrypt-2-0-v-oblichii-cryptowall/ (дата обращения: 21.09.2015).