Американские эксперты втихую взломали ключи шифровальщика Zeppelin

Американские эксперты втихую взломали ключи шифровальщика Zeppelin

Американские эксперты втихую взломали ключи шифровальщика Zeppelin

Специалисты ИБ-компании Unit 221B обнаружили, что ключи шифрования Zeppelin можно получить брутфорсом. По уговору с ФБР полезную находку до недавних пор скрывали от общественности; мера предосторожности позволила двум десяткам жертв восстановить данные без уплаты выкупа.

Зловред Zeppelin, написанный на Delphi, объявился в интернете в конце 2019 года. Он шифрует файлы, используя ARC4 и AES-256 в режиме CBC; для защиты приватных ключей (у каждой жертвы свои, а публичные потом удаляются) используется RSA. Зашифрованным файлам добавляется расширение — три группы по три символа, которое также служит идентификатором жертвы в переговорах о выкупе.

Перед запуском шифратора вредонос определяет установленный по умолчанию язык и местонахождение жертвы (по внешнему IP через обращение на спецсервис). Страны, для которых исполнение откатывается: Россия, Украина, Белоруссия, Казахстан. Завершив шифрование, Zeppelin удаляет свой исполняемый файл.

Три дня назад исследователи опубликовали свою находку, рассказав об уязвимости шифратора, позволяющей добыть нужные ключи брутфорсом. Взлом занимает считаные часы, если этим занимается сотня серверов в облаке; однако весь процесс осложняется тем, что открытые ключи, генерируемые зловредом, существуют в памяти лишь пять минут после завершения шифрования. 

По результатам исследования в Unit 221B был создан Live CD на базе Linux для запуска на зараженных компьютерах с целью извлечения ключей шифрования из памяти. Вывод загружается в кластер из 800 CPU, предоставленный хостером Digital Ocean, который и выполняет брутфорс.

В блоге эксперты пишут, что занялись поиском способов взлома Zeppelin после атак шифровальщика на НКО и благотворительные организации. Об успехе предприятия Unit 221B долгое время знали только правоохранительные органы и некоторые ИБ-эксперты; решение придержать публикацию было принято, чтобы не спровоцировать изменение вредоносного кода — такие случаи уже были, и пришлось бы заново создавать декриптор.

В августе американская CERT опубликовала предупреждение об угрозе Zeppelin, отметив, что операторы шифровальщика могут многократно исполнять его в зараженной сети. Каждый раз появляются новые ID, расширения файлов и уникальные ключи, и вернуть данные становится сложнее.

Вымогательским атакам подвергаются различные бизнес-структуры, оборонные предприятия, образовательные и медицинские учреждения. Первичный доступ к сетям злоумышленники получают, используя слабые пароли к RDP, уязвимость файрволов SonicWall или вредоносные рассылки.

До развертывания Zeppelin хакеры в течение недели или двух проводят разведку в сети, выискивая лакомые цели — такие как хранилища данных и бэкапы. Размеры выкупа (взимается в биткоинах) могут составлять от нескольких тысяч до 1 млн долларов с лишним.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Вышел бесплатный GPU-дешифратор для Linux-вымогателя Akira

Исследователь Йоханес Нугрохо выпустил бесплатный инструмент для расшифровки файлов, пострадавших от Linux-версии вымогателя Akira. Уникальность дешифратора заключается в использовании мощности графических процессоров (GPU) для восстановления ключей шифрования.

Изначально Нугрохо взялся за создание утилиты, чтобы помочь другу. Он предполагал, что задача займёт около недели, учитывая метод создания ключей шифрования в Akira.

Однако проект пришлось доводить до ума целых три недели, плюс он потребовал затрат на GPU-ресурсы в размере 1200 долларов США.

Особенность Akira заключается в использовании текущего времени с точностью до наносекунд в качестве сида для генерации уникальных ключей шифрования. Эти ключи дополнительно защищаются RSA-4096 и добавляются в конец каждого зашифрованного файла.

 

Поскольку вымогатель шифрует несколько файлов одновременно в многопоточном режиме, определить точную временную метку затруднительно. Изучив журналы событий и метаданные файлов, исследователь сузил диапазон поиска и применил мощные GPU-сервисы облачных платформ RunPod и Vast.ai.

Используя шестнадцать графических процессоров RTX 4090, ему удалось подобрать ключ примерно за 10 часов, хотя при большом объёме файлов процесс может занять несколько дней.

 

Дешифратор уже опубликован на GitHub с подробными инструкциями, однако автор напоминает пользователям о необходимости предварительного резервного копирования данных, поскольку неправильный ключ может привести к повреждению файлов.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru