CryptorBit, czyli polski ślad w kodzie źródłowym ransomware

Wśród licznych wersji oprogramowania szyfrującego pliki użytkowników bez ich wiedzy i żądającego okupu za ich odszyfrowanie trafiliśmy na ślad jednej z odmian, której autorem prawdopodobnie może być nasz rodak. Nie jest to jedyny błąd, jaki popełnił.

CryptorBit, bo tak nazywa się to złośliwe oprogramowanie, pojawił się w sieci w okolicy początku grudnia 2013. Nie jest ani najpopularniejszy, ani najbardziej złośliwy, jest z nim jednak związany ciekawy błąd, który wskazuje na jego polskie pochodzenie.

Pliki zaszyfrowane, ale częściowo do odzyskania

Osoby zarażone CryptorBitem mogą poznać, że padły ofiarą właśnie tego programu, po tym, ze w każdym folderze komputera, w którym do tej pory były ich dokumenty, pojawiają się dwa nowe pliki: HowDecrypt.txt oraz HowDecrypt.gif. Oba zawierają instrukcję przekazania okupu.

Komunikat CryptoBitu (źródło: Bleeping Computer)

Program szyfruje pliki w dość specyficzny sposób, umożliwiając ich częściowe odzyskanie. Najpierw wycina pierwsze 512 bajtów każdego pliku, następnie je szyfruje i dokleja na końcu pliku po czym w ich miejsce na początku wstawia błędny nagłówek. Powoduje to, że pliki „przestają się otwierać”, ponieważ programy je obsługujące nie rozpoznają prawidłowo ich formatu. Zaszyfrowanego oryginalnego nagłówka nie da się odzyskać (a przynajmniej nie bez kontaktu z przestępcą), lecz część formatów plików w nagłówku zawiera informacje nie wpływające na treść danych, zatem możliwe jest przywrócenie pliku do życia. W ten sposób obecnie można odzyskać pliki JPG, PST, MP3, PDF, DOC, XLS, XLSX, PPTX, oraz DOCX. Na forum Bleeping Computer opublikowano odpowiednie narzędzie oraz instrukcję, jak odzyskać inne pliki z różnych kopii bezpieczeństwa.

Polski akcent w kodzie źródłowym

Jak widać na powyższym obrazku, panel umożliwiający przekazanie okupu autorowi oprogramowania znajduje się w sieci Tor, pod adresem 4sfxctgp53imlvzk.onion. Najciekawszy jest jednak prawdopodobny błąd w konfiguracji reguły .htaccess na tym serwerze, powodujący, że odwołanie do dowolnego nieistniejącego pliku umożliwia pobranie kodu źródłowego głównej strony. W kodzie znajduje się login i hasło do bazy danych panelu, a jeszcze niedawno na serwerze dostępny był interfejs umożliwiający przeglądanie bazy danych.

Pierwszy ślad tego odkrycia pochodzi z 20 grudnia 2013, kiedy to John Carroll opublikował link do wyciągniętego kodu źródłowego a krótko potem również podsumowanie przychodów przestępców (zarobili w grudniu ok. 1 BTC). Wtedy jednak kod źródłowy nie zawierał ciekawego komentarza. Pojawia się on dopiero w artykule innego autora z 20 marca tego roku. Interesujący fragment wygląda tak:

session_start();
define('DBHOST', 'localhost');
define('DBUSER', 'site');
define('DBPASS', 'Be6mybCWhpFpgG4u');//Dostep do sql zamiana!!!

Wygląda zatem na to, że autorem kodu jest nasz rodak lub ktoś, kto chciał zmylić tropy polskim komentarzem. Niektóre teksty w kodzie sugerują, że angielski nie był językiem ojczystym autora, np. „Message was send” lub „Message must contains”.

Dostęp do bazy

Kilka dni później innemu blogerowi udało się trafić na ten sam błąd serwera, jednak poszedł jeszcze krok dalej i znalazł dostępny folder /mysql, a w nim oprogramowanie o nazwie Adminer, umożliwiające zarządzanie bazą danych przez stronę www.

Panel administracyjny (źródło: TGHC)

Jak widać na powyższym zrzucie ekranu przestępcy nie muszą się opędzać od płacących klientów, jednak ktoś ciągle daje się naciągnąć na ułamek BTC. Możliwe także, że baza jest często czyszczona, dlatego brak w niej większej ilości wpisów. Krótko po tym, jak bloger zajrzał do serwisu, dostęp do folderu /mysql został zablokowany. Ciągle jednak działa pobieranie kodu źródłowego strony głównej – można sprawdzić samemu, czy uległ modyfikacji.

Blogerowi udało się także zapytać bazę o nazwę hosta – brzmi ona DS791732. Moze kojarzycie, w jakiej serwerowni tak nazywają maszyny?

Na forum Bleeping Computer poruszono jeszcze jeden ciekawy wątek – mimo intensywnych poszukiwań do tej pory nie trafiono na ślad metody infekcji komputerów. Jedna z teorii mówi o tym, że złośliwy program może być instalowany ręcznie, po przejęciu kontroli nad komputerem poprzez słabo zabezpieczony zdalny pulpit.

Podsumowanie

Jak widać autor CryptorBita popełnił kilka błędów – choć trochę mu jeszcze brakuje do autora BitCrypta, który na skutek prostego błędu arytmetycznego umożliwił swoim ofiarom własnoręczne odszyfrowanie wszystkich plików. Teraz pozostaje nam tylko czekać, aż ktoś znajdzie kolejną podatność na serwerze przestępcy i prześle nam jego dane.

Na wątek naprowadził nas wpis na blogu Pomiędzy bitami.