Вирус-шифровальщик

№83-1,

Технические науки

В статье рассматриваются вирусы – шифровальщики, которые обрели большую популярность в хакерских атаках. Их развитие обуславливается большим количеством информации, которая расположена в основном на компьютере. Проводится обзор по известным вирусам и основным причинам заражения ими.

Похожие материалы

В нашем современном мире при постоянно развивающихся технологий приходится обязательно поддерживать безопасность систем и данных. Программы — шифровальщики относятся к классу троянцев — вымогателей — это вредоносное ПО, которое вносит несанкционированные изменения в пользовательские данные или блокирует нормальную работу компьютера, то есть основная цель это сделать недоступными пользовательские данные. Для расшифровки данных и разблокировки компьютера злоумышленники обычно требуют денежного перевода (выкупа). Число пользователей, атакованных троянцами — шифровальщиками в 2015 году доходит до 180 тысяч [1].

Говоря о всех видах вирусов — шифровальщиков можно представить, что это код, прописанный в самокопирующемся вирусе, предполагает шифрование практически всех пользовательских данных (в основном видео, графические и текстовые файлы) специальными криптографическими алгоритмами, не затрагивающее системные файлы операционной системы. При этом сам проникший вирус — шифровальщик расшифровать файлы не позволяет. Для этого нужен специальный дешифратор, за который злоумышленник и требует сумму денег.

Современные экземпляры вирусов используют криптостойкие алгоритмы шифрования. Содержимое файлов шифруется с очень высокой скоростью, а ключ шифруется асимметричным алгоритмом. Это означает, что на подбор ключа для расшифровки могут потребоваться годы вычислений компьютера [2, С. 144].

По статистике антивирусных компаний, удается подобрать ключ лишь в 10% случаев. Встречаются случаи, когда восстановить файлы просто невозможно, даже если вы заплатите некоторую сумму вымогателям. Это происходит в том случае, если вирус шифровальщик просто выбрасывает ключ шифрования, а не передает его для хранения на сервер. В таблице 1 приведена статистика расшифровки вирусов от компании «DrWeb» в 2016 г.

Таблица 1. Статистика расшифровки

Троянец

Альтернативные наименования

Вероятность расшифровки

BAT.Encoder

Trojan.FileCrypt.C;
BAT/Filecoder.B;
Trojan — Ransom.BAT.Scatter.s

20 — 30%

Trojan.Encoder.94

Trojan — Ransom.Win32.Xorist;
Trojan:Win32/Bumat!rts;
Win32/Filecoder.Q

90%

Trojan.Encoder.293

90 — 100%

Trojan.Encoder.398

Gen:Trojan.Heur.DP;
TR/Dldr.Delphi.Gen

58%

Trojan.Encoder.556

Trojan — ansom.Win32.Agent.iby;
Gen:Variant.Kates.2

3 — 5%

Trojan.Encoder.741

21%

Trojan.Encoder.567

Win32/Filecoder.CQ;
Gen:Trojan.Heur.OH3@tb9fsadcg

10 — 20%

Trojan.Encoder.686

CTB — Locker

Расшифровка на данный
момент невозможна

Trojan.Encoder.858

Trojan.Encoder.2843(*.vault)

90%

Trojan.Encoder.2667

59%

Trojan.Encoder 3953

80%

Linux.Encoder.1, Linux.Encoder.2, Linux.Encoder.3

100%

Mac.Trojan.KeRanger.2

100%

Интересный факт, что более чем в 90% случаев пользователи запускают вирусы — шифровальщики своими руками и не подозревая, что открывают вирус. Более половины всех случаев шифрования приходится на вирус Trojan.Encoder и сотни вариантов его модификаций.

Проникновение

Основным источником распространения является электронная почта на уровне инсталлированных на конкретном компьютерном терминале программ вроде Outlook, Thunderbird, The Bat и т. д. Почтовых интернет — серверов это не касается, поскольку они имеют достаточно высокую степень защиты, а доступ к пользовательским данным возможен разве что на уровне облачных хранилищ. Ярким примером распространения рассматриваемых вирусов является массовая рассылка писем в организации. Другой источник — запуск скачанной с интернета программы, только вместо установки программы пользователь получает зашифрованные файлы. При активировании данного вируса, пользователь заметит, что все файлы, которые имели до этого значки, станут с иконками неизвестного типа файлов, открыть которые не получится [3, с. 211].

Вирусы

Вирусы — шифровальщики широко распространились за последнее время. Затронем самые известные и столь недавно заявившие о себе.

  1. F — Secure, компания, специализирующаяся на разработке систем кибербезопасности, 4 апреля 2016 г. выпустила предупреждение о «Пете», новом виде вируса — шифровальщика, который блокирует весь жесткий диск компьютера вместо простого шифрования файлов на диске, как это делают другие подобные вирусы. «Петя» шифрует MFT файловой системы, делая для операционной системы невозможным обнаружение нужных файлов, таким образом приводя компьютер в полностью неработоспособное состояние.
  2. Старуха Шапокляк — новый вирус, работающий на основе программы — шифровальщика данных. Специализируется он по всем файлам, которые могут иметь коммерческую ценность и шифрует их в расширения типа cbf, vault и xtbl. После шифрования вирус просит перевести определенное количество средств на Bitcoin, при этом взамен предлагает дешифратор и лечение. Даже если Вы отправляете деньги, обратно вы не получаете ничего и становитесь очередной жертвой аферы.
  3. Недавно появившийся вирус XTBL можно отнести к классическому варианту шифровальщика. Как правило, он проникает в систему через сообщения электронной почты, содержащие вложения в виде файлов с расширением .scr, которое является стандартным для скринсейвера Windows. Система и пользователь думают, что все в порядке, и активируют просмотр или сохранение вложения. Имена файлов преобразуются в набор символов, а к основному расширению добавляется еще .xtbl, после чего на искомый адрес почты приходит сообщение о возможности дешифровки после оплаты указанной суммы.
  4. Вирус CBF появляется в системе после открытия вложений электронной почты, а затем переименовывает пользовательские файлы, добавляя в конце расширение вроде .nochance или .perfect. Расшифровка вируса — шифровальщика такого типа для анализа содержимого кода даже на стадии его появления в системе не представляется возможной, поскольку после завершения своих действий он производит самоликвидацию. Универсальное средство RectorDecryptor не помогает.
  5. Вирус Breaking_Bad работает по той же схеме, но переименовывает файлы в стандартном варианте, добавляя к расширению .breaking_bad. В отличие от предыдущих вирусов, этот может создавать и еще одно расширение — .Heisenberg, так что найти все зараженные файлы не всегда можно.
  6. Вирус paycrypt@gmail.com, пожалуй, самая серьезная угроза, которая направлена большей частью на крупные коммерческие организации. Как правило, в какой — то отдел приходит письмо, содержащее вроде бы изменения к договору о поставке, или даже просто накладная. Вложение может содержать обычный файл .jpg (типа изображение), но чаще — исполняемый скрипт .js (Java — апплет) [4, с. 57].

В результате можно сказать, что выдвинутую тему можно включить в одну из актуальных в безопасности нашего времени. Это показывает статистика и практика столкновения с такими вирусами. Полностью решить данную проблему так и не удалось, только малая часть вирусов на 100% имеют алгоритмы дешифрации и могут быть успешно обезврежены. Остальная часть либо имею неполную дешифрацию, либо вообще не имеют, что предвещает дальнейшее их исследование и устранение.

Список литературы

  1. Амелин Р. В. Информационная безопасность.[Электронный ресурс]. – URL: http://nto.immpu.sgu.ru/sites/default/files/3/__77037.pdf (дата обращения: 30.03.2018).
  2. Бондаренко Е. С. Эволюция вирусов-шифровальщиков //Контентус. – 2016. – № 8. – С. 143-145.
  3. Шаньгин В.Ф. Защита информации в компьютерных системах и сетях / В.Ф.Шаньгин. – М.: ДМК Пресс, 2012. – 592 с.
  4. Лабутин Н. Г. Некоторые способы защиты от вирусов-шифровальщиков //Современные тенденции развития науки и технологий. – 2017. – № 2-2. – С. 56-58.