Расшифровка\взлом шифровальщиков

Тема в разделе "WASM.CRYPTO", создана пользователем Fail, 23 янв 2017.

  1. Fail

    Fail Active Member

    Публикаций:
    0
    Регистрация:
    14 мар 2012
    Сообщения:
    503
    Всем привет.

    Часто встречаю в сети новости, что такой то или сякой то шифровальщик типа взломан экспертами и прочее в таком духе. А можете прояснить - как это "взломан"? Как я понимаю, в шифровальщиках используются стандартные алгоритмы шифрования, которые стойкие. Так как можно "взломать" шифровальщик? Или это относится только к тем случаям, когда тупо пароль на шифр хранится прямо в приложухе(вирусе) и его можно оттудова забрать?
     
  2. galenkane

    galenkane Active Member

    Публикаций:
    0
    Регистрация:
    13 янв 2017
    Сообщения:
    269
    Можно пример так званого шифровальщика?
     
  3. Fail

    Fail Active Member

    Публикаций:
    0
    Регистрация:
    14 мар 2012
    Сообщения:
    503
  4. yashechka

    yashechka Ростовский фанат Нарвахи

    Публикаций:
    90
    Регистрация:
    2 янв 2012
    Сообщения:
    1.449
    Адрес:
    Россия
    Может там свой алгоритм придумали, поэтому и говорят, что взломали, потому что этот алгоритм не известен.
     
  5. sl0n

    sl0n Мамонт дзена **

    Публикаций:
    0
    Регистрация:
    26 сен 2003
    Сообщения:
    684
    Та нет все проще, если кто использует симетрику а не опенссл например, то просто смотрится по каким правилам генерится ключ или как он выдается сервером на основе этого либо брутят либо тупо расшифровывают.
     
    _edge нравится это.
  6. _edge

    _edge Well-Known Member

    Публикаций:
    1
    Регистрация:
    29 окт 2004
    Сообщения:
    631
    Адрес:
    Russia
    "Взламывают" тогда, когда зловредописатели решают сами накодить реализацию алго шифрования, и, так как часто не знают деталей (в которых кроется дьявол, пословица) и чисто математических особенностей этого шифрования, допускают ошибки, дающие возможность если не вычленить ключ, то сильно сократить диапазон перебора ключей.

    Если не ошибаюсь, при использовании серьезного шифрования с парой ключей приватный-публичный, даже наличие публичного ключа, и сколько угодно пар файлов "исходный-зашифрованный", ничем не поможет. Только подбор (брутфорс), что в случае использования нормальных алго - откладывает расшифровку файлов если не на мульон лет, то до появления квантовых компьютеров.

    (гугл "ассиметричное шифрование публичный приватный ключи")

    с бородой, но в тему http://v-martyanov.livejournal.com/8943.html
     
    Последнее редактирование: 23 янв 2017
  7. ECk

    ECk Member

    Публикаций:
    0
    Регистрация:
    9 апр 2004
    Сообщения:
    454
    Адрес:
    Russia
    Архитектурно ущербные реализации подвержены взлому, если это можно назвать взломом, разумеется. Нормальные реализации не подвержены таким взломам by design, т.к. исходно предусматривали такие попытки.
    Скажем, если у такого зверя есть паблик ключ на борту (приватный на сервере), он может сгенерить на машине юзера пару ключей - приватный и паблик, приватный зашифровать тем ключом, что на борту имеется, а сгенерированным паблик ключом шифровать ключи для симметричного алгоритма (AES, 3DES и другие) - каждый файл отдельный ключ, зашифрованный паблик ключом сгенеренным. Для расшифровки юзер обращается на сервер и передает зашифрованный сгенерированный приватный ключ - который можно расшифровать только приватным ключом с сервера, разумеется, только после оплаты.
     
    James Anderson, Fail, yashechka и 2 другим нравится это.
  8. Fail

    Fail Active Member

    Публикаций:
    0
    Регистрация:
    14 мар 2012
    Сообщения:
    503
    Ясно, спасибо. Интересная инфа. Всем спасибо, будем дальше думать)
     
  9. UbIvItS

    UbIvItS Well-Known Member

    Публикаций:
    0
    Регистрация:
    5 янв 2007
    Сообщения:
    6.074
    чё-то меня смутные подозрения гложут :))))) симм. шифровальщики можно на коленке строфать и хрен их, кто сломает. А тута такой прогресс.. такой прогресс.. ажжжжжЪ Жуть :))))
     
  10. UbIvItS

    UbIvItS Well-Known Member

    Публикаций:
    0
    Регистрация:
    5 янв 2007
    Сообщения:
    6.074
    правда, тута имеется одна тонкость ==>> методики доставки ключа на машину клиента ==>> вот сий момент действительно есмь основная уязвимость криптора.
     
  11. UbIvItS

    UbIvItS Well-Known Member

    Публикаций:
    0
    Регистрация:
    5 янв 2007
    Сообщения:
    6.074
    то есть можно быстренько узнать чей сервач и прийти к сим ребятишкам в гости ==>> чаёк/утюг/паяльник/.. и обсуждение особенностей алгоса криптора станет весьма бодрым да ёмким :)
     
  12. _edge

    _edge Well-Known Member

    Публикаций:
    1
    Регистрация:
    29 окт 2004
    Сообщения:
    631
    Адрес:
    Russia
    Я словил на той неделе вымогателя. Не простого, а ориентированного на прогеров. То есть файлы, которые он гробит, с расширениями HTML,ICO,MID,TTF,ESV и PLT/PRF/EXP/TPL/LNX/SVG/STR/CAT

    Сидел в якобы установщике TRW2000 :)

    Его выдала "бомбардировка" попытками что-то выполнить от имени привелегированного пользователя, UAC начал доставать своими вопросами.
    А так бы сидел курил бамбук, не думая ни о чем; шифровка происходит очень незаметно для пользователя.

    https://yadi.sk/d/FNs8qjYB3FqvP3 пароль 1

    Стартовый trw2000.exe, остальные = то, что он дропает в систему.
    Про меры предосторожности думаю не нужно говорить?

    --

    и озвучу свои наивные мысли на тему защиты от такого sh'ита :

    Почему нельзя поставить фильтр (драйвер) на запись, например, в PDF? Легитимный софт часто пишет в уже существующие PDF? А в JPG? И то, этого софта по пальцам пересчитать; так почему не вывести окно подтверждения на перезапись таких файлов?

    Происходит запись в файл, для этого экземпляра файла - выполняем действие на его копии, затем сравниваем заголовок (сигнатуру вроде PK для ZIP или MZ для EXE) исходного файла и измененного. JPG остался JPG'ом, значит можно допустить изменение оригинального файла. Если же вместо заголовка мусор, спрашиваем пользователя о применении изменений.

    Не совсем корректно. Файл может быть прочитан, содержимое в памяти пошифровано, и создан новый файл, а старый удален. Скорее оно так и работает. Тогда делаем FakeDel, то есть запросы на удаление файлов отрабатываем как перемещение (в свою Корзину, не виндовую). Считаем файлы, засекаеем время, если как из пулемета файлы удаляет (а рансому это и нужно сделать как можно быстрее), выдаем предупреждение. И становится возможным Откат Удаления.
     
    Последнее редактирование: 15 мар 2017
    rococo795 нравится это.
  13. ECk

    ECk Member

    Публикаций:
    0
    Регистрация:
    9 апр 2004
    Сообщения:
    454
    Адрес:
    Russia
    Если он не tor hidden service - а там искать без вариантов (учитывая степень вредности на отдельно взятом компе - это не педофилы и не SilkRoad с наркотой и заказными убийствами, стало быть степень участия спецслужб в поисках такого рода будет минимальной).
     
  14. DelAlt

    DelAlt Member

    Публикаций:
    0
    Регистрация:
    31 янв 2017
    Сообщения:
    62
    а не проще ли бекапиться?
     
  15. _edge

    _edge Well-Known Member

    Публикаций:
    1
    Регистрация:
    29 окт 2004
    Сообщения:
    631
    Адрес:
    Russia
    Не хочу отвечать вопросом на вопрос, но.. в чем проблема реализации такого драйвер-фильтра?

    Бекапиться проще, когда уже наступил на грабли. Как говорится, есть те, кто не делает бэкапы и уже делает.

    Но всех не переучишь, и все не забэкапишь. "Текучка" (информация, которую еще не отбэкапили, самая свежая) то она все равно может попасть под трояна.
    Понятно, что и харды выходят из строя, и бывает что "выключил комп - все работало, включаешь - хард не определяется". У меня так ssd отклячился, но суть не в этом.

    Софта-то, который меняет JPG/PDF, мало. Того, который меняет до неузнаваемости, не знаю такого, кроме собственно криптолокеров.
    Все конечно не так прямолинейно, можно и в архив с паролем через легальную программу архивации переместить содержимое папки "Мои документы", но при этом пойдет массовое удаление файлов программой архивации, что также можно отмониторить и задать вопрос пользователю.

    Мои настоящие знания не позволяют оценить сложность такого др-ра, но в природе уже существует др-р, который блокирует запись в MBR, конечно, в реализации проще, и он особо интеллектом не наделен.

    Но то, что например предлагает Касперский - защищенное хранилище копий документов - как-то странно. Ведь можно блочить перезапись файлов.
     
  16. UbIvItS

    UbIvItS Well-Known Member

    Публикаций:
    0
    Регистрация:
    5 янв 2007
    Сообщения:
    6.074
    если на фирме фаерволом порезали соцсети и прокси, то схема сбрасывается в Зеро. к тому же, мне не совсем ясно, как троян найдёт свой сервач (если ойпи сервача заведомо неизвестно).
     
    sniper нравится это.
  17. Indy_

    Indy_ Well-Known Member

    Публикаций:
    4
    Регистрация:
    29 апр 2011
    Сообщения:
    4.775
    Считается что эти всякие шифорвальщики это даже не малварь, а особый род вредоносного софта, причём для реализации которого знаний не нужно никаких. Соответственно те эксперты", про которых пишут, такие же ньюбы и делаю всё это ради пиара.
     
  18. UbIvItS

    UbIvItS Well-Known Member

    Публикаций:
    0
    Регистрация:
    5 янв 2007
    Сообщения:
    6.074
    ну, ежель личные файлы легли под шифр, то тут уж не до размышлений про тру/нет малварь :))
     
  19. UbIvItS

    UbIvItS Well-Known Member

    Публикаций:
    0
    Регистрация:
    5 янв 2007
    Сообщения:
    6.074
    самая надёжная схема -- спарка (первичный ключ + пермутатор) ==>> после шифровки файлов криптор оставляет номер пермутации, тч владелец первичного ключа может сгенерить актуальный ключ для заданного случая. короче, алгос пермутации выковыривается из криптора и если у нас есть key(j), то можно декриптить все шифры key(i) {i > j}.
     
  20. _edge

    _edge Well-Known Member

    Публикаций:
    1
    Регистрация:
    29 окт 2004
    Сообщения:
    631
    Адрес:
    Russia
    Есть Ютуб пользователь CruelSister, специализируется на тестах АВ против сабжа,




    Некоторые записанные ролики навевают грусть.

    В комментариях к не очень интересному youtu.be/9CwPwvyRTp4 автор высказывает свою точку зрения.
     
    Последнее редактирование: 16 мар 2017