Программа-вымогатель

Программа-вымогатель - это тип вредоносного программного обеспечения от криптовирологии, который угрожает публиковать данные жертвы или постоянно блокировать доступ к ней, если выкуп не будет выплачен. В то время как некоторые простые средства вымогательства могут блокировать систему таким образом, чтобы не справиться с хорошо осведомленным человеком, более совершенное вредоносное ПО использует метод, называемый криптовирусным вымогательством, в котором он шифрует файлы жертвы, делая их недоступными и требует выплаты выкупа для расшифровки. При правильно реализованной атаке криптовирусного вымогательства восстановление файлов без ключа дешифрования является неразрешимой проблемой - и для отслеживания цифровых валют, таких как Ukash и криптовалюта, используются для выкупа, что затрудняет отслеживание и преследование виновных.

Атаки программы-вымогателя обычно выполняются с помощью трояна, который замаскирован под законный файл, который пользователь обманывает при загрузке или открытии, когда он прибывает в качестве вложения электронной почты. Однако один высокопрофильный пример «червя WannaCry» автоматически перемещался между компьютерами без взаимодействия с пользователем.

Начиная с 2012 года использование мошеннических вымогательств выросло на международном уровне. В июне 2013 года продавец McAfee опубликовал данные, свидетельствующие о том, что он собрал более чем в два раза больше образцов выкупов в этом квартале, чем в том же квартале прошлого года. CryptoLocker был особенно успешным, заработав приблизительно 3 миллиона долларов США до того, как он был снят властями, а CryptoWall, по оценкам Федерального бюро расследований США (ФБР), к июню 2015 года начислил более 18 миллионов долларов США.

## Операция

Концепция судебного разбирательства по шифрованию файлов была изобретена и реализована Young and Yung в Колумбийском университете и была представлена на конференции IEEE Security & Privacy. Он называется криптовирусным вымогательством, и он был вдохновлен вымышленным лицом-хищником в фильме «Чужой». Криптовирусное вымогательство - это следующий протокол из трех раундов между злоумышленником и жертвой.

1. [злоумышленник → жертва] Злоумышленник генерирует пару ключей и помещает соответствующий открытый ключ в вредоносное ПО. Выпущено вредоносное ПО.
2. [жертва → злоумышленник] Чтобы выполнить атаку криптовирусного вымогательства, вредоносное ПО генерирует случайный симметричный ключ и шифрует данные жертвы с ним. Он использует открытый ключ для вредоносного ПО для шифрования симметричного ключа. Это известно как гибридное шифрование, и это приводит к небольшому асимметричному зашифрованному тексту, а также к симметричному зашифрованному тексту данных жертвы. Он обнуляет симметричный ключ и исходные данные открытого текста для предотвращения восстановления. Он помещает сообщение пользователю, которое включает в себя асимметричный зашифрованный текст и как оплачивать выкуп. Жертва посылает атакующему асимметричный зашифрованный текст и электронные деньги.
3. [злоумышленник → жертва] Злоумышленник получает платеж, расшифровывает асимметричный зашифрованный текст с закрытым ключом злоумышленника и отправляет симметричный ключ жертве. Жертва расшифровывает зашифрованные данные с необходимым симметричным ключом, тем самым завершая криптовирусную атаку.

Симметричный ключ генерируется случайным образом и не будет помогать другим жертвам. Ни в коем случае личный ключ злоумышленника, подверженный жертвам и жертве, не должен посылать злоумышленнику очень маленький зашифрованный текст (зашифрованный ключ симметричного шифрования).

Атаки программы-вымогателя обычно выполняются с использованием трояна, входящего в систему через, например, загруженный файл или уязвимость в сетевой службе. Затем программа запускает полезную нагрузку, которая каким-то образом блокирует систему или заявляет о блокировке системы, но не выполняет (например, программу scareware). Payloads может отображать поддельные предупреждения якобы субъектом, например, как правоохранительные органы, ложно утверждая, что система была использована для незаконной деятельности, содержит контент, такой как порнография и «пиратских» средств массовой информации.

Некоторые полезные нагрузки состоят просто из приложения, предназначенного для блокировки или ограничения системы до тех пор, пока не будет произведена оплата, как правило, путем установки оболочки Windows для себя или даже изменение основной загрузочной записи и / или таблицы разделов для предотвращения загрузки операционной системы до ее восстановления. Самые сложные полезные файлы шифруют файлы, многие используют сильное шифрование для шифрования файлов жертвы таким образом, что только у автора вредоносного кода есть необходимый ключ дешифрования.

Платеж практически всегда является целью, и жертва принуждается к оплате за выкуп, который может быть удален, что может или не может произойти, либо путем предоставления программы, которая может расшифровать файлы, или путем отправки кода разблокировки, который отменяет изменения полезной нагрузки. Ключевым элементом при выполнении вымогательной работы для злоумышленника является удобная платежная система, которую трудно отследить. Был использован ряд таких способов оплаты, в том числе банковские переводы, текстовые сообщения с премиальными ставками, предоплаченные ваучерные услуги, такие как Paysafecard, и цифровая валютная биткойна. Исследование, проведенное в 2016 году по заказу Citrix, утверждало, что крупные компании держат биткойн в качестве планов на случай непредвиденных обстоятельств.

## История

### Шифрование

Первая известная атака на вымогательство вредоносного ПО, «Троянская программа по СПИДу», написанная Джозефом Поппом в 1989 году, имела неудачу в дизайне настолько серьезной, что вовсе не нужно было платить вымогателю. Его полезная нагрузка спрятала файлы на жестком диске и зашифровала только их имена и отобразила сообщение о том, что лицензия пользователя на использование определенного программного обеспечения истекла. Пользователю было предложено заплатить 189 долларов США «PC Cyborg Corporation», чтобы получить инструмент восстановления, хотя ключ дешифрования можно извлечь из кода трояна. Троянец также был известен как «PC Cyborg». Попп был признан психически неспособным предстать перед судом за свои действия, но он пообещал пожертвовать прибыль от вредоносного ПО для финансирования исследований СПИДа.

Идея злоупотребления анонимными денежными системами для безопасного сбора выкупа от похищения людей была введена в 1992 году Себастьяном фон Солмс и Дэвидом Наккаче. Этот метод электронных денег был также предложен для криптовирусных вымогательств. В сценарии фон Солмс-Наккаче использовалось газетное издание (так как в то время, когда была написана статья, в книге биткойнов не было).

Понятие использования криптографии с открытым ключом для атак с похищением данных было введено в 1996 году Адамом Л. Янг и Моти Юнгом. Янг и Юнг критиковали неудавшийся информационный троянец по СПИДу, который полагался только на симметричную криптографию, фатальный недостаток в том, что ключ дешифрования мог быть извлечен из трояна, и реализовал экспериментальный криптовирус с понятием концепции на Macintosh SE / 30, который использовал RSA и Крошечный алгоритм шифрования (TEA) для гибридного шифрования данных жертвы. Поскольку используется криптография с открытым ключом, криптовирус содержит только ключ шифрования. Злоумышленник сохраняет закрытый закрытый ключ дешифрования. Оригинальный экспериментальный криптовирус Юнга и Юнга заставил жертву послать асимметричный зашифрованный текст злоумышленнику, который расшифровывает его и возвращает симметричный ключ дешифрования, который он содержит жертве за определенную плату. Задолго до того, как существовали электронные деньги, Юнг и Юнг предложили, чтобы электронные деньги можно было вымогать с помощью шифрования, заявив, что «автор вируса может эффективно удерживать весь выкуп денег, пока половина его не будет предоставлена ему. Даже если электронные деньги были предварительно зашифрованы пользователем, пользователю это бесполезно, если он зашифрован криптовирусом». Они называли эти атаки «криптовирусным вымогательством», открытой атакой, которая является частью более крупного класса атак в области криптовирологии, которая охватывает как открытые, так и скрытые атаки. Протокол криптовирусного вымогательства был вдохновлен вынужденными симбиотическими отношениями между лицом Х. Р. Гигера и его хозяином в фильме «Чужой».

Примеры вымогательских выкупов стали заметными в мае 2005 года. К середине 2006 года трояны, такие как Gpcode, TROJ.RANSOM.A, Archiveus, Krotten, Cryzip и MayArchive, начали использовать более сложные схемы шифрования RSA с постоянно увеличивающимися размерами ключа. Gpcode.AG, обнаруженный в июне 2006 года, был зашифрован 660-битным открытым ключом RSA. В июне 2008 года был обнаружен вариант, известный как Gpcode.AK. Используя 1024-битный RSA-ключ, считалось, что он достаточно велик, чтобы вычислительно не поддаваться разрыву без согласованных распределенных усилий.

Шифрование программ-вымогателей возвращено к известности в конце 2013 года с распространением CryptoLocker - используя платформу цифровой валюты Биткойн для сбора денег выкупа. В декабре 2013 года, по оценкам ZDNet, на основе информации о транзакциях Bitcoin, которая с 15 октября по 18 декабря, операторы CryptoLocker закупили около 27 миллионов долларов США от зараженных пользователей. Метод CryptoLocker был широко скопирован в следующие месяцы, включая CryptoLocker 2.0 (хотя и не относящийся к CryptoLocker), CryptoDefense (который первоначально содержал основной недостаток дизайна, который хранил закрытый ключ в зараженной системе в извлекаемом пользователем месте, из-за использования встроенных API шифрования Windows), а также обнаружение трояна в августе 2014 года, специально предназначенного для сетевых устройств хранения данных, созданных Synology. В январе 2015 года сообщалось о том, что при использовании хакерских атак на отдельных веб-сайтах произошли атаки с использованием выращенных в обычном режиме, а также с помощью вымогательства, предназначенного для установки на серверы на базе Linux.

Центр защиты от вредоносных программ Microsoft выявил тенденцию от файлов WSF в пользу файлов LNK и сценариев PowerShell. Эти файлы ярлыков LNK устанавливают программу Locky ransomware, автоматизируя инфекционные операции, а не полагаясь на традиционную загрузку файлов WSF, что стало возможным благодаря универсальному приложению Windows PowerShell. К сожалению, киберпреступники смогли использовать PowerShell для своих атак в течение многих лет. В недавнем отчете было установлено, что приложение было вовлечено в почти 40% инцидентов безопасности конечных точек. Хотя злоумышленники в течение многих лет находили слабые места в операционной системе Windows, ясно, что с PowerShell существует что-то проблематичное.

Некоторые штаммы ransomware использовали прокси, привязанные к скрытым сервисам Tor, чтобы подключиться к их серверам управления и управления, увеличивая сложность отслеживания точного местоположения преступников. Кроме того, темные поставщики веб-сайтов все чаще начинают предлагать эту технологию как услугу.

Symantec классифицировала выкуп, чтобы быть самой опасной кибер-угрозой.