[Démý~stíf~ýíñg~ Ráñs~ómwá~ré Té~chñí~qúés~ Úsíñ~g .Ñét~ Ássé~mblí~és: Á M~últí~-Stág~é Átt~áck]

[Íñ párt óñé óf thís séríés, wé lóókéd át éxámplés óf prógrámmíñg cápábílítíés thát cáñ bé úséd bý ráñsómwáré íñ théír málícíóús téchñíqúés. Théñ íñ párt twó, wé álsó éxámíñéd thé fúñdáméñtáls óf Mícrósóft’s .Ñét sóftwáré fráméwórk áñd ássócíátéd ássémblíés óf ÉXÉ áñd DLL tó úñdérstáñd hów thésé cápábílítíés áré mádé póssíblé.]  

[Íñ th~ís fí~ñál p~árt, w~é wíl~l cóm~bíñé~ évér~ýthí~ñg th~át há~s béé~ñ dís~cúss~éd só~ fár í~ñtó á~ sét ó~f stá~géd p~áýló~áds t~ó dém~óñst~ráté~ thé f~úñdá~méñt~áls ó~f á mú~ltí-s~tágé~ páýl~óád á~ttác~k.]

[Páýl~óád á~ñd át~táck~ sétú~p]

[Wé bégíñ bý láýíñg óút thé páýlóáds thát wíll bé úséd fór thé áttáck. Áll thé prévíóús cápábílítíés íñclúdíñg ñéw óñés wíll bé tákéñ íñtó áccóúñt tó créáté thé stágéd páýlóáds. Thís ís tó démóñstráté óvéráll hów thé dífféréñt táctícs áñd téchñíqúés wé hávé sééñ só fár cáñ bé pút tógéthér ás ís týpícállý thé cásé óf ráñsómwáré.]

[Wé ár~é góí~ñg tó~ úsé t~hé fó~llów~íñg p~áýló~áds:]

• [Íñít~íál É~XÉ áp~plíc~átíó~ñ: Stá~gér p~áýló~ád]
• [Máíñ~ ráñs~ómwá~ré ÉX~É: Stá~gé-1 pá~ýlóá~d]
• [2^ñd má~íñ rá~ñsóm~wáré~ DLL: S~tágé~-2 páýl~óád]

[Thé úsé óf múltíplé páýlóáds tó áccómplísh dífféréñt tásks íñ thís áttáck éxámplé cóñstítútés á múltí-stágé áttáck. Lóókíñg báck át thé prévíóús séríés óñ málwáré páýlóáds áñd béácóñs, párt twó díscússéd týpés óf málícíóús páýlóáds íñ móré détáíl. Théré, Í éxpláíñéd thé dífféréñcé bétwééñ á stágér vérsús stágéd páýlóád týpés. Íñ súmmárý, á stágér ís áñ óftéñ smállér íñítíál éxécútáblé ápplícátíóñ thát cáñ áct ás thé dówñlóádér, dróppér, áñd/ór páýlóád fór á móré cápáblé áñd óftéñ bíggér máíñ páýlóád fílé kñówñ ás thé stágé. Thé púrpósé óf thé stágér páýlóád ís tó sét úp thé máíñ stágé. Íñ thís áttáck éxámplé, úsíñg páýlóád stágíñg ás déscríbéd ábóvé, thé dífféréñt páýlóáds wíll hávé thé váríóús tásks ás fóllóws:]

[Stág~ér ÉX~É páý~lóád~ wíll~ dó th~é fól~lówí~ñg:]

• [Évás~íóñ t~échñ~íqúé~s]
• [Dówñ~lóád~s twó~ ‘téxt~’ fílé~s tó d~ísk. T~hésé~ fílé~s áré~ íñ fá~ct áñ~ ÉXÉ á~ñd DL~L.]
• [Láúñ~ch th~é 2^ñd É~XÉ fí~lé]
• [Thé s~tágé~r thé~ñ éxí~ts]
• [Thé r~úññí~ñg 2^ñd~ ÉXÉ (s~tágé~-1) lóád~s thé~ DLL (s~tágé~-2)]

[Stág~é-1 ÉXÉ~ áñd S~tágé~-2 DLL p~áýló~áds t~héñ p~érfó~rm th~é fól~lówí~ñg má~lící~óús r~áñsó~mwár~é áct~íóñs~:]

• [Évás~íóñ t~échñ~íqúé~s]
• [Dísc~óvér~ý]
• [Próc~éss m~áñíp~úlát~íóñ]
• [Drív~és áñ~d fíl~és éñ~úmér~átíó~ñ]
• [Éñcr~ýptí~óñ óf~ fílé~s]

[Stág~ér: Íñ~ítíá~l páý~lóád~ éxéc~útáb~lé (ÉX~É)]

[Thé áttáck bégíñs wíth óúr íñítíál páýlóád, thé stágér délívéréd tó thé víctím máchíñé. Óftéñ thís ís víá sócíál éñgíñééríñg téchñíqúés líké phíshíñg. Óñcé thé íñítíál páýlóád ís délívéréd áñd rúñ, ít wíll bégíñ éxécútíñg thé málícíóús sét óf íñstrúctíóñs.]

[Évás~íóñ]

[Ít wíll fírst wáít á spécífíéd tímé wíthóút pérfórmíñg áñý áctíóñs. Thís ís áñ évásíóñ téchñíqúé désígñéd tó óútlást vírtúál máchíñé thréát áñálýsís. Áftér thís, ít wíll dówñlóád á wéll-kñówñ éxécútáblé fróm thé Íñtérñét súch ás á ñótépád ápp. Thís ís á décóý áñd áñóthér évásíóñ táctíc tó ávóíd détéctíóñ.]

[Óthé~r téc~hñíq~úés c~áñ íñ~clúd~é ché~ckíñ~g fór~ móús~é clí~cks ó~r ché~ckíñ~g dóc~úméñ~t dír~éctó~ríés~ fór é~vídé~ñcé ó~f fíl~és ás~sócí~átéd~ wíth~ ñórm~ál ús~é óf á~ cómp~útér~ sýst~ém ás~ óppó~séd t~ó á sá~ñdbó~x vír~túál~ mách~íñé ú~séd f~ór th~réát~ áñál~ýsís~.]

[Dówñ~lóád~ér, dr~óppé~r, áñd~ lóád~ér]

[Óñcé thésé íñítíál évásíóñ áctíóñs hávé bééñ éxécútéd, thé stágér (íñítíál) páýlóád wíll ágáíñ éxécúté á thírd sléép áctíóñ. Ít wíll wáít ágáíñ fór á spécífíéd tímé béfóré cóñtíñúíñg thé ñéxt sét óf íñstrúctíóñs whích wíll bé tó dówñlóád thé stágé páýlóád fílés. Thésé fílés áré rémótélý hóstéd bý thé áttáckér ás shówñ bélów.]

[Thé s~tágé~r thé~ñ pró~cééd~s tó d~ówñl~óád t~wó té~xt fí~lés “ñ~ótép~ádló~g0120231224.txt~” áñd “ñ~ótép~ádló~g0120231513.txt~.” Thís~ ñéxt~ phás~é ís s~hówñ~ íñ ré~d téx~t íñ t~hé éx~ámpl~é bél~ów.]

[Ñótí~cé th~át th~é dów~ñlóá~d líñ~ks fó~r thé~ páýl~óád f~ílés~ áré á~ctúá~llý ó~bfús~cáté~d úsí~ñg bá~sé64 éñ~códí~ñg wh~ích w~ás dí~scús~séd á~s thé~ fóúr~th té~chñí~qúé í~ñ thé~ fírs~t pár~t óf t~hís s~éríé~s.]

[Thé í~ñítí~ál pá~ýlóá~d cóñ~vért~s thé~ básé~64 íñté~rñál~lý óñ~ thé f~lý tó~ thé ó~rígí~ñál d~ówñl~óád l~íñks~.]

[Thé twó dówñlóádéd téxt fílés áré áctúállý áñ éxécútáblé (ÉXÉ) áñd dýñámíc líñk líbrárý (DLL) réspéctívélý, dísgúíséd ás téxt fílés. Thésé áré thé stágé-1 áñd stágé-2 páýlóáds fór thís múltí-stágé ráñsómwáré áttáck éxámplé. Úpóñ súccéssfúl dówñlóáds, thésé fílés áré réñáméd tó théír órígíñál týpés.]

[Thé stágér páýlóád théñ láúñchés thé stágé-1 éxécútáblé páýlóád tó bégíñ thé áctúál ráñsómwáré áttáck. Thé stágér hás ñów cómplétéd íts púrpósé áñd éxíts óñcé thé stágé-1 páýlóád ís lóádéd íñtó mémórý áñd stárts rúññíñg. Só, ás díscússéd íñ thé fírst téchñíqúé íñ fírst párt óf thís séríés, thís íñítíál stágé páýlóád ís thé dówñlóádér áñd dróppér fór thé stágé-1 ÉXÉ áñd stágé-2 DLL páýlóád áñd thé lóádér óñlý fór thé stágé-1 páýlóád. Thé DLL páýlóád wíll bé lóádéd ás á stágé-2 páýlóád bý thé ñów rúññíñg stágé-1 ÉXÉ páýlóád héñcé á múltí-stágé páýlóád áttáck.]

[‍Stág~é-1 éxé~cútá~blé (É~XÉ)]

[‍Óñcé~ éxéc~útíó~ñ hás~ bééñ~ páss~éd tó~ thé s~tágé~-1 éxéc~útáb~lé, ít~ wíll~ fírs~t slé~ép fó~r á sp~écíf~íéd á~móúñ~t óf t~ímé á~s shó~wñ bé~lów.]

[Ít wí~ll th~éñ dé~lété~ thé s~tágé~r páý~lóád~ fílé~ “páýl~óád_~íñít~íál_~stág~ér.éx~é” fró~m thé~ fílé~sýst~ém ás~ á méá~ñs óf~ rémó~víñg~ áñý é~vídé~ñcé. Í~ñ thé~ éxám~plé b~élów~, thé f~ílé h~ás bé~éñ dé~lété~d áñd~ ís ñó~ lóñg~ér íñ~ thé d~íréc~tórý~.]

[Thé s~tágé~-1 páýl~óád í~s ñów~ réád~ý tó é~xécú~té ít~s sét~ óf ác~tíóñ~s tó c~óñtí~ñúé t~hé ré~st óf~ thé á~ttác~k. ‍]

[Dísc~óvér~ý‍]

[Ñéxt, ít wíll pérfórm sómé díscóvérý téchñíqúés óñ thé íñféctéd sýstém. Thésé díscóvérý téchñíqúés állów á thréát áctór tó úñdérstáñd á bít móré ábóút thé íñféctéd sýstém. Díscóvérý hélps thé thréát ópérátór tó máké cértáíñ crúcíál ópérátíóñál sécúrítý cóñsídérátíóñs tó éñsúé óvéráll súccéss óf thé áttáck. Íñ thís éxámplé, thé stágé-1 páýlóád pérfórms á prócéss líst chéck. Sómé prócéssés thát míght bé óf íñtérést wíll bé Éñdpóíñt Détéctíóñ áñd Réspóñsé (ÉDR), áñtí-vírús (ÁV) ór vírtúál máchíñé prócéssés. Thésé hélp tó úñdérstáñd thé próbábílítý óf thé páýlóád béíñg détéctéd.]

[Báséd óñ thé résúlts óf thé díscóvérý íñfórmátíóñ, á thréát áctór cáñ máké sómé ímpórtáñt ópérátíóñál sécúrítý décísíóñs. Fór éxámplé, íf á wéll-kñówñ ÉDR prócéss ís fóúñd óñ thé sýstém ór thé páýlóád détécts vírtúál máchíñé prócéssés, théñ thé páýlóád cáñ bé íñstrúctéd tó éxít tó ávóíd détéctíóñ.]

[Álté~rñát~ívél~ý, thé~ thré~át ác~tór c~áñ dé~cídé~ tó ém~plóý~ áddí~tíóñ~ál év~ásíó~ñ téc~hñíq~úés t~ó évá~dé th~é ÉDR~ ór év~éñ át~témp~t tó ú~sé ót~hér m~éáñs~ tó té~rmíñ~áté t~hé ÉD~R pró~céss~ áltó~géth~ér.]

[Díscóvérý álsó hélps tó détérmíñé hów válúáblé thé cómprómíséd sýstém míght bé. Fór éxámplé, ís ít á pródúctíóñ Dátábásé sérvér ór á páýméñt sýstém wíth válúáblé cústómér dátá¿ Thé móré crítícál thé sýstém ís tó á búsíñéss, thé móré líkélý á ráñsóm wíll bé páíd fór ít.‍]

[Próc~éss m~áñíp~úlát~íóñ: L~ívíñ~g-óff~-thé-L~áñd (L~ótL) b~íñár~íés]

[‍Áñóthér sét óf úséfúl íñfórmátíóñ ís sýstém-rélátéd íñfórmátíóñ súch ás ópérátíñg sýstém, láñgúágé lócálé, áñd hótfíxés áñd úpdátés íñstálléd ór míssíñg fróm thé sýstém. Thís týpé óf íñfórmátíóñ cáñ hélp pláñ áddítíóñál áttácks súch ás vúlñérábílítý éxplóíts.]

[Ássúmíñg thé ÉDR prócéss wás ñót fóúñd, thé páýlóád wíll cóñtíñúé bécáúsé thé thréát áctór máý bé cóñfídéñt óf déálíñg wíth óthér óñés. Só, áftér chéckíñg thé prócéss íñfórmátíóñ, thé stágé-1 éxécútáblé páýlóád úsés á Lívíñg-óff-thé-Láñd téchñíqúé áñd láúñchés á sépáráté Wíñdóws cómmáñd prómpt ás shówñ íñ thé éxámplé bélów.]

[Áftér thé cómmáñd prómpt ís láúñchéd, thé páýlóád pássés sómé Wíñdóws cómmáñds tó ít tó rúñ. Thís cómmáñd wíll géñéráté sýstém íñfórmátíóñ súch ás sýstém týpé, prócéssór íñfórmátíóñ, úptímé, áñd hótfíxés. Á sñápshót óf thé óútpút ís shówñ íñ réd téxt íñ thé éxámplé bélów.‍]

[Stág~é-2 dýñ~ámíc~ líñk~ líbr~árý (D~LL)‍]

[Ás dí~scús~séd í~ñ thé~ prév~íóús~ ártí~clés~, á DLL~ fílé~ cóñt~áíñs~ cómp~útér~ códé~ thát~ cáññ~ót bé~ éxéc~útéd~ bý ít~sélf~. Só, íñ~ óúr é~xámp~lé, th~é stá~gé-1 ÉX~É áls~ó úsé~s cód~é íñ t~hé st~ágé-2 D~LL tó~ fíñí~sh óf~f thé~ rést~ óf th~é átt~áck c~ýclé~.‍]

[Stág~é-1 ÉXÉ~ lóád~íñg s~tágé~-2 DLL p~áýló~ád‍]

[Áftér thé stágé-1 ÉXÉ páýlóád cómplétés íts áctíóñs, ít prócééds tó lóád thé stágé-2 DLL páýlóád. Thé DLL páýlóád cóñtáíñs thé códé thát wíll bé úséd fór thé fíñál stágés óf thé áttáck whích ís tó chéck fór thé drívés óñ thé sýstém áñd théñ éñcrýpt séléctéd fílés óñ thósé drívés.]

[Thé DLL códé fírst rúñs á drívé chéck tó fíñd thé drívés óñ thé íñféctéd sýstém, lístíñg úséfúl íñfórmátíóñ ábóút éách óñé. Fróm thé díspláý ábóvé, óf pártícúlár íñtérést ís íñfórmátíóñ ábóút thé drívés óñ thé sýstém whích áré réádý fór áccéss vérsús thé óñés whích áré ñót. Thís hélps tárgét thé fílés óñ thé ríght drívés fór éñcrýptíóñ áñd prévéñt érrórs bý áttémptíñg tó ópéráté óñ drívés thát áré réád-óñlý ór cáññót bé áccésséd. ‍]

[Éñcr~ýptí~óñ‍]

[Át thís póíñt, thé éñcrýptíóñ fór ráñsóm ís ñów réádý tó gó áhéád. Thé éñcrýptíóñ códé íñ thé stágé-2 DLL fírst chécks fór á líst óf téxt fílés íñ thé díréctórý. Thís ís bécáúsé wé wíll bé éñcrýptíñg óñlý téxt fílés íñ thís lást démóñstrátíóñ. Thé páýlóád théñ díspláýs áll thé téxt fílés thát wéré fóúñd.]

[Thé d~íscó~véré~d fíl~és ár~é thé~ñ éñc~rýpt~éd bý~ thé p~áýló~ád. Th~é fíl~é éxt~éñsí~óñs á~ré ál~só ch~áñgé~d tó “.é~ñcrý~ptéd~” tó sh~ów th~é éñc~rýpt~éd té~xt fí~lés.]

[Béló~w, wé c~áñ ál~só sé~é thé~ béfó~ré áñ~d áft~ér ím~ágés~ óf th~é dír~éctó~rý wh~éré t~hé té~xt fí~lés á~ré ló~cáté~d, shó~wíñg~ thé c~háñg~és áf~tér é~ñcrý~ptíó~ñ.]

[Fíñállý cómés thé ráñsóm ñóté: Thís týpícállý álérts thé úsér tó thé fáct thát théír fílés hávé bééñ éñcrýptéd. Ít álsó íñstrúcts thém óñ hów tó páý thé ráñsóm áñd gét thé décrýptíóñ kéý tó décrýpt thé fílés. Íñ á lót óf cásés, páýíñg thé ráñsóm dóés ñót áútómátícállý gúáráñtéé géttíñg áccéss tó thé décrýptíóñ kéý.]

[Ñótícé thát íñ óúr éxámplé, wé chósé tó pút áll thé éñcrýptíóñ códé íñtó á DLL fílé whích bécámé óúr stágé-2 páýlóád. Thís ís prímárílý bécáúsé, ás díscússéd íñ thé prévíóús ártíclés, á DLL ís á líbrárý fílé whích méáñs ít cáñ bé ré-úséd. Fór íñstáñcé, íf ás áñ áttáckér wé chósé tó úsé á cómplétélý dífféréñt stágé-1 ÉXÉ páýlóád, máýbé bécáúsé óf ñéw évásíóñ éñháñcéméñts íñ thé fútúré, wé dó ñót hávé tó ré-wríté thé éñcrýptíóñ párt óf óúr páýlóád códé tó fíñálízé thát ñéw áttáck cámpáígñ. Wé cáñ símplý páír óúr ñéw páýlóád wíth thé éxístíñg stágé-2 DLL fílé áñd hávé thé ñéw ÉXÉ lóád thé DLL tó éñcrýpt fílés.‍]

[Mítí~gátí~óñ ág~áíñs~t ráñ~sómw~áré‍]

[Últí~máté~lý, rá~ñsóm~wáré~ wíll~ émpl~óý th~réé m~áíñ f~róñt~íérs~ óf íñ~féct~íóñ, é~xécú~tíóñ~, áñd p~érsí~stéñ~cé.]

[Thés~é cáñ~ bé br~óádl~ý cát~égór~ízéd~ ás:]

• [Fílé~sýst~ém]
• [Régí~strý~]
• [Mémó~rý]
• [Ñétw~órk (r~émót~é áñd~ lócá~l – lát~érál~ móvé~méñt~)]

[Déféñdérs múst théréfóré púrsúé búíldíñg úp thé ríght tóólséts áñd útílízé thém íñ thé ríght wáýs fór éfféctívé sécúrítý mítígátíóñ. Íñ párt thréé óf thé prévíóús séríés óñ málwáré páýlóáds áñd béácóñs, théré ís á móré détáíléd rúñ thróúgh óf déféñsé-íñ-dépth mítígátíóñ búíldíñg óñ thé phílósóphý óf ássúmé bréách áñd cýbér résílíéñcé.]

[Thís thréé-párt séríés hás démóñstrátéd hów thé dífféréñt táctícs áñd téchñíqúés úséd bý málwáré áñd spécífícállý ráñsómwáré cáñ cómé tó bé. Bý úñdérstáñdíñg thésé dífféréñt táctícs áñd téchñíqúés, déféñdérs cáñ bé béttér plácéd tó éválúáté théír éxístíñg cýbér pólícíés áñd déféñsés fór éfféctívé cóúñtérméásúrés.]

[Wáñt~ tó lé~árñ m~óré á~bóút~ prót~éctí~ñg ýó~úr ór~gáñí~zátí~óñ fr~óm rá~ñsóm~wáré~ áñd b~réác~hés¿~ Cóñt~áct ú~s tód~áý.
]