Likvidace fotografií, dokumentů aneb nový „policejní virus“ na scéně

„Policejní virus“ prochází rychlým vývojem. Nejprve překvapil nekvalitním českým překladem, potom nás naopak překvapil kvalitním českým překladem, následně zdražil, přišla verze s prezidentem Milošem Zemanem a nyní se začíná stále častěji objevovat verze, která kromě blokování startu Windows zašifruje i soubory na pevném disku…Pro havěť, která spadá do kategorie „ransomware“ je typické, že brání v užívání počítače tím, že celou obrazovku monitoru „přeplácne“ neproniknutelnou zprávou. Tato zpráva se uživatele snaží přesvědčit o tom, že se dopustil řady trestných činů (ve skutečnosti je celá zpráva smyšlená) a dovést ho tak k řešení, které spočívá v zaplacení „odpustku“ ve výši několika stovek až tisíců Kč. Tyto by měly zaručit bezúhonnost uživatele a taktéž by mělo dojít k automatickému odvirování počítače. Mělo…

Tím, že se zpráva vydává za dílo policie v tom či onom státu, vysloužilo si to celé lidový název „Policejní virus“.

Jak už bylo řečeno, na začátku vypadal „tuzemský“ policejní virus velice nepovedeně, více jsem o tom psal v novince Policie ČR vás sleduje.

Pak přišly lépe počeštěné verze, které zdražily – možná i díky nutnosti zaplatit kvalitnějšího překladatele 😀 Více v novince Policie ČR zdražuje.

A vše bylo dovedeno k dokonalosti použitím regionálních symbolů, státních znaků atd. podle toho, pro jakou zemi byl policejní virus vytvořen. Takže zatímco ve Švédsku bylo možné spatřit obrázek krále, u novějších tuzemských policejních virů nebylo problém zahlédnout rovnou Miloše Zemana 🙂

Policejní virus včetně pana prezidenta, zdroj: malwareremovalguides.info

Nyní se (jak informuje například ESET) začínají rozmáhat ještě pokročilejší policejní viry, které kromě blokování Windows navíc zašifrují některé soubory na pevném disku. Uživatel tak může být rázem bez důležitých dokumentů, rodinných fotografií, hudby, videí a tak dále! Havěť s rodiny Win32/Filecoder šifruje obsah třeba všech souborů s příponami: txt, xls, docx, doc, cer, key, rtf, xlsx, text, ppt, pdf, cdx, cdr, js, css, asm, jpg, dbf, mdb, sql, pgp. Zašifrovaná podoba takových souborů je nepoužitelná, nicméně existuje možnost provést opačný postup, tj. dešifrování a dostat se tak k původním informacím. A zde je zakopán pes. Abyste se k použitelné podobě souborů dostali, musíte opět útočníkovi zaplatit (podle zprávy ESETu až 3 tisíce EUR u varianty Win32/Filecoder.NAC!) a on vám zašle klíč (možná) v podobě textového řetězce, který do blokujícího okna vložíte. Havěť pak provede odkódování souborů a následné odvirování.

Třeba u havěti s názvem Win32/Harasom.A lze soubory odšifrovat i bez platby útočníkovi. Většinou za to může pevně daný šifrovací klíč, který si s sebou havěť nese. Ten pak může posloužit i pro odkódování a toho využívá například aplikace Emsisoft Harasom Decrypter. Případně lze využít faktu, že občas nejsou zašifrované soubory nic jiného, než RAR archivy opatřené heslem (=šifrovacím klíčem). Horší situace nastává, pokud si šifrovací klíč určí havěť „za pochodu“ až na počítači uživatele, následně pomocí něho provede šifrování a pak tento klíč zahodí (ještě předtím pochopitelně odchází útočníkovi – pro případ, kdyby uživatel opravdu zaplatil…). Pak je jedinou šancí podívat se po nějakém tom čerstvě smazaném souboru, zda se v něm klíč nenachází (bohužel tím, že existují stovky různých policejních virů, nelze přesně napsat, kde a co hledat), případně využít teoretické možnosti, že havěť vytváří nové soubory s zašifrovanou podobou a originály maže bez použití „skartovačky souborů“ (a tyto následně obnovit).

Blokovaný vstup do Windows havětí Win32/Harasom.A, zdroj: bleepstatic.com

Přesně takovou komplikací pro uživatele může být například havěť s názvem Win32/Filecoder.NAG (dle názvosloví ESET). Ta si zapíše individuální šifrovací klíč (heslo) pro každý zavirovaný počítač do souboru Setconf  a tímto klíčem pak zašifruje soubory uživatele. Kromě toho havěť vytvoří i soubor ok.txt do kterého umístí text „Thank you!„. Ještě předtím, než soubor Setconf po zašifrování souborů smaže (a tím způsobí pro uživatele pohromu), odešle klíč metodou HTTP POST na server v internetu, který má pod kontrolou útočník. Spolu s ním odchází i identifikační číslo (ID), kterým by se měl uživatel spolu s 300$ u útočníka hlásit (a ten by mu měl poskytnout heslo pro odkódování, které je s ID svázáno).

Dříve zmiňovaný soubor ok.txt s textem „Thank you!“ je taktéž zašifrován a později slouží jako jednoduchá kontrola zadaného hesla/šifrovacího klíče. Havěť totiž v souboru ok.txt očekává právě řetězec „Thank you!„, tudíž pokud se tam po dešifrování neobjeví, je zřejmé, že bylo do dialogu zadáno nesprávné heslo.

Tímto dialogem si havěť Win32/Filecoder.NAG žádá o 300$. Zasláním prosby na uvedený e-mail se možná dočkáte tolik potřebného klíče pro odkódování souborů. Nahoře je důležité identifikační číslo. Zdroj: malwaredigger.com

Tím, že je zde použito AES šifrování a dostatečně dlouhý klíč (15 znaků), je v podstatě nemožné šifru prolomit brutální silou a přitom se toho časově dožít. Více o této konkrétní variantě je napsáno na malwaredigger.com (anglicky). Malou perličkou je skutečnost, že díky chybě na útočníkově serveru se bylo možné k odeslaným ID a heslům dostat. Nicméně to je již minulost, server útočníka, respektive cílová adresa je mimo provoz.

Na závěr přehled dalších zajímavostí:

• Některé verze odpočítávají čas do momentu, kdy je dešifrovací klíč smazán (a tím tlačí na uživatele, ať včas zaplatí).
• Některé varianty nabízejí možnost platby prostřednictvím měny Bitcoin.
• Proti havěti typu ransomware se zdá být efektivní HitmanPro.Kickstart. Příprava je trochu náročnější (vytvoření USB flash disku), nicméně potom je již samotné použití hračkou: http://www.surfright.nl/en/kickstart. Obecně je vhodné provádět odvirování právě z bootovacího CD či USB flash disku. Řada antivirů takovou mobilní verzi nabízí.
• Pokud máte vlastní zkušenosti jak na policejní virus, určitě napište do diskuze!