Ransomware, včera dnes a zítra. Igor Hák ESET software spol. s r.o.

Rozměr: px

Začít zobrazení ze stránky:

Download "Ransomware, včera dnes a zítra. Igor Hák ESET software spol. s r.o."

Tadeáš Sedláček
před 5 lety
Počet zobrazení:

1 Ransomware, včera dnes a zítra Igor Hák ESET software spol. s r.o.

2 Obsah Historie Současné trendy Z pohledu AV společností Něco pozitivního na závěr 23. února 20I7

3 Historie ransomware AIDS Information Introductory Diskette rok: 1989 vektor šíření: diskety technika: AUTOEXEC.BAT a symetrická šifra platba: 189$ do PO boxu v Panamě důvod : porušení EULA peníze na prodloužení licence (90 startů) autor: Dr. Joseph Popp (nyní AMREF - Flying Doctors ) 23. února 20I7

4 Policejní virus během 2012 lokalizován bez šifrování dat jen blokovaný přístup do Windows postupné zdražování a zkvalitnění překladu Historie ransomware desítky variant po celém světě stavebnice 23. února 20I7

7 Historie ransomware Ransomware bez šifrování nutno zapůsobit jinak policejní zpráva / FBI / CIA co nejvíce informací o PC ( víme všechno ) foto oběti (z webkamery) alespoň do něčeho se trefit smyšlené informace o porušování autorských práv, přítomnosti dětské pornografie, nelegální software,... odnětí svobody na XX let 23. února 20I7

8 Policejní virus pomáhá! arstechnica.com Historie ransomware 23. února 20I7

9 2013 Historie ransomware nástup ransomware se šifrováním dat (CryptoLocker,...) postupné zdokonalování méně chyb lepší šifrování - stále menší šance na vznik dekryptorů od AV společností mazání stínových kopií vymazlenější února 20I7

10 vektor šíření: ulož.to windows crack office crack minecraft crack... Win32/Filecoder.Q šlo odšifrovat, část klíče v těle + v názvu souboru 23. února 20I7

11 Win32/Filecoder.Q

18 Ransomware Locky Nové-staré fígle šíření přes v příloze neškodná faktura.docx kdo pamatuje makroviry? využití autoopen makra stažení EXE havěti z internetu a spuštění 23. února 20I7

19 Nové-staré fígle

20 Ransomware Petya Nové-staré fígle jako pravý trojský kůň imitace CHKDSK 23. února 20I7

21 Nové-staré fígle

22 Nové-staré fígle

23 Ransomware as a service Satan vytvoř si svůj ransomware bez vstupních poplatků (na rozdíl od malware as a service) provizní systém (30% z každého zaplaceného výpalného pro autory) 23. února 20I7

24 Satan

25 Satan

26 Satan

28 Některé problémy: Z pohledu AV společností změna havěti per install / per download horizontální granularita havěti obálky (Kryptik) ztížit detekci (triky proti emulaci kódu, neběží na virtuálním prostředí,...) ztížit analýzu funkcionality zvýšit variabilitu proměnlivý klíč (analogicky: ZIP archiv pokaždé s trochu jiným formátem a jiným heslem) 23. února 20I7

29 Z pohledu AV společností

30 Z pohledu AV společností

31 Z pohledu AV společností

33 Něco pozitivního na závěr

35 Jigsaw ransomware Něco pozitivního na závěr ransomware lze obalamutit a zadarmo pak provede dešifrování { status : success, data :{ address : <bitcoinaccount>, balance :0, balance_multisig :0}, code :200, message : } { status : success, data :{ address : <bitcoinaccount>, balance :10, balance_multisig :0}, code :200, message : } 23. února 20I7

36 Něco pozitivního na závěr

37 Něco pozitivního na závěr

38 Smlouvejte o ceně! hi! 23. února 20I7 Něco pozitivního na závěr Your files are encrypted because you don't give enough attention to the safety of your system. To decrypt your data, you must to pay us. After payment we will send to you personal decoder. We are not liars or cheaters. You pay - we help. The more time you wait before you pay = the more expensive price. It's simple. Be reasonable. Now the price is 4 BTC. After 24 hours, the price will grow. Hurry up! all info about bitcoins here - bitcoins buys here - our wallet - 1FwHxzFFGbAmmdkxhUUTEjocuDhEowDyuU this is your test file -

39 Hello, Něco pozitivního na závěr no christmas discount? Igor Hak Původní zpráva Od: "Jiwani Aaron" Komu: Odesláno: :44:37 Předmět: RE: Crypted files & christmas time 23. února 20I7

40 Něco pozitivního na závěr

41 Něco pozitivního na závěr Když to nejde odšifrovat hned, může to jít později! 23. února 20I7

42 Něco pozitivního na závěr

43 Děkujeme za pozornost. 16. února 2011 Igor Hák ESET software spol. s r.o. hak@eset.cz

Podobné dokumenty

GUIDELINES FOR CONNECTION TO FTP SERVER TO TRANSFER PRINTING DATA

GUIDELINES FOR CONNECTION TO FTP SERVER TO TRANSFER PRINTING DATA What is an FTP client and how to use it? FTP (File transport protocol) - A protocol used to transfer your printing data files to the MAFRAPRINT