Ransomware Gpcode má údajne obete aj v SR, autor vypátraný

DSL.sk, 2.10.2008

Autor ransomwaru Gpcode, ktorý šifruje užívateľove súbory a požaduje výkupné za poskytnutie dešifrovacieho kľúča, bol vypátraný príslušnými autoritami. Tvrdí to na základe informácií spoločnosti Kaspersky Lab server Techworld.

Autor Gpcode bol vypátraný na základe komunikácie, keď sa snažil spoločnosti Kaspersky Lab predať nástroj na dešifrovanie súborov. Zatiaľ nie je známe, či príslušné autority už podnikli voči autorovi Gpcode nejaké kroky.

Osoba ponúkajúca na predaj daný nástroj dokázala na požiadanie rozkódovať pomocou verejného RSA kľúča používaného ransomwarom zašifrovaný RC4 kľúč, musela mať tak prístup k privátnemu RSA kľúču. Predpokladá sa, že rovnaká osoba je za verziami Gpcode z rokov 2006 a 2007.

Podľa naznačených informácií využíval autor pri komunikácii proxy servery, ktoré boli hacknutými domácimi PC ovládanými botnetmi.

Podľa informácií Kaspersky Lab pre Techworld Gpcode mal svoje obete aj na Slovensku. Ďalšie obete pochádzali z Ruska a Maďarska.

Najnovšia verzia Gpcode, ktorá bola identifikovaná v júni 2008, na každom PC vytvorí náhodný hlavný 128-bitový RC4 kľúč. Pre každý jednotlivý súbor vytvára osobitný 128-bitový kľúč pre RC4 symetrické šifrovanie, ktorý je potrebný aby pri známom obsahu niektorého zo zašifrovaných súborov nebolo priamo možné zistiť generovaný keystream a použiť ho k odšifrovaniu ostatných súborov.

Pre vygenerovanie kľúča pre každý zo súborov je vygenerovaný náhodný 128-bitový blok, ktorý je zašifrovaný hlavným RC4 kľúčom. Následne je aplikovaný algoritmus SHA 1, 128 bitov z výsledku ktorého je použitých ako RC4 kľúč pre šifrovanie daného súboru. Do šifrovaného súboru je uložených aj náhodných 128 bitov vygenerovaných v prvom kroku pre tento súbor, aby bolo samozrejme možné so znalosťou hlavného RC4 kľúča súbor odšifrovať.

Po skončení všetkých šifrovacích operácií je hlavný RC4 kľúč zašifrovaný 1024-bitovým pevným verejným RSA kľúčom používaným Gpcode na každom PC a výsledok je uložený do súboru !_READ_ME_!.txt v každom adresári, kde sa nachádza nejaký zašifrovaný súbor.

Schéma Gpcode poskytnutá DSL.sk autormi Gpcode

Popis algoritmu vyplýva zo schémy, ktorú v júni poskytli autori Gpcode serveru DSL.sk.

Podľa Kaspersky Lab boli v implementácii Gpcode nešpecifikované chyby, ktoré umožnili dešifrovať niektoré súbory aj bez získania kľúča. Výsledky metódy na dešifrovanie využitím týchto chýb ale záviseli na viacerých okolnostiach a metóda nedokázala väčšinou rozšifrovať všetky súbory.


Najnovšie články:



Diskusia:

....... Od reg.: -nikto- | Pridané: 2.10.2008 9:42 a nejake detaily o autorovi? z akej krajiny je? kolko na tom zarobil? ci bude trestne stihany? (pokial neexistuje legislativa v danej krajine, tak asi tazko) atd :) Odpovedať Známka: 10.0 Hodnotiť:

Re: ....... Od: Accuphose+ | Pridané: 2.10.2008 10:07 Řekl bych, že trestně stíhaný bude určitě, protože za dešifrování dat chtěl prachy. Spíš nevěřím té legendě, o té komunikaci s Kaspersky Labs, to by pak nebyl zločinec, ale jen člověk, který si to chtěl zkusit, čímž ho neomlouvám. Když se jde po zdroji peněz, tak se viník najde, to je totiž nejslabší část plánu. Každopádně ten člověk udělal silný nástroj na ovládnutí dat. To o těch chybách beru jako pohádku, dokud sem někdo nenapíše, co tam bylo za chyby. Protože počítače není házení kostkou, jsou tam jasně definovatelné věci i okolnosti, za kterých se tak děje. Odpovedať Známka: 6.7 Hodnotiť:

Re: ....... Od: ViX | Pridané: 2.10.2008 13:06 Keby tie peniaze boli na charitu, napriklad na Gruzinsko, tak by sa mu nic nestalo. Odpovedať Známka: -5.0 Hodnotiť:

Re: ....... Od reg.: wavevlna | Pridané: 2.10.2008 14:18 jakze nic? ten clovek je chodiaca mrtvola Odpovedať Hodnotiť:

Re: ....... Od: quix_ | Pridané: 2.10.2008 16:49 omfg charita a americka provincia v jednej vete, no ty si dobry. Odpovedať Známka: 6.7 Hodnotiť:

Re: ....... Od: anonym | Pridané: 2.10.2008 15:18 podla mna bol z Ruska... :) bo rusaci su v tychto veciach fakt brutalni.... nech si hovori kto chce, co chce, ale je to tak... takze moj tip: Rusko Odpovedať Známka: 10.0 Hodnotiť:

Re: ....... Od: ervejs | Pridané: 2.10.2008 15:43 no moj tip je potom dakto z turecka :) Odpovedať Hodnotiť:

Re: ....... Od reg.: Matúš Čák Norris Trenčiansky | Pridané: 2.10.2008 17:19 Podla mna daky cinan :P Odpovedať Hodnotiť:

Re: ....... Od: El nino | Pridané: 2.10.2008 19:25 je to určite Ind...! Odpovedať Hodnotiť:

Titulok príspevku musí mať dĺžku aspoň 5 znakov. Od: ssined | Pridané: 2.10.2008 19:09 hentake schemy nam kresli profesorka na vypoctovke urcite to bola ona Odpovedať Známka: 10.0 Hodnotiť:

teoria Od: ROm :D | Pridané: 2.10.2008 20:35 Urcite to bol dajaky cigan co byva na Slovensku..doslova cigan co obcas chodi do netky kuknut spoje na do ciech do roboty a tma to stihol spravit vsetko bo cigani si vychcany tha zistil ze s toho bude mat penaze tha ..chodil po netkach a daval im tam vsade bootnetov :D Odpovedať Známka: -5.0 Hodnotiť:

Re: teoria Od reg.: -nikto- | Pridané: 3.10.2008 10:08 LOL Odpovedať Známka: 10.0 Hodnotiť:

Re: teoria Od: Asta-killer | Pridané: 3.10.2008 23:58 Ty si kvalitne vypatlany. Ved to nevies ani poriadne napisat. Vraj bootnet... :-)) Odpovedať Hodnotiť:

Pridať komentár