Шифровальщик CUBA прекращает работу при русской раскладке
CUBA относится к семействам вымогателей для Windows и может шифровать локальные, смонтированные и размонтированные тома, а также сетевые общие ресурсы. При запуске ВПО проверяет активные раскладки клавиатуры. Если находит русскую раскладку, удаляет свой исполняемый файл и завершает работу, не шифруя данные.
Если русской раскладки нет, CUBA запрашивает привилегию SeDebugPrivilege и пытается завершить выбранные процессы и службы. Перед этим ВПО отключает некоторые службы, чтобы приложения, например базы данных, не блокировали файлы во время шифрования.
Шифровальщик поддерживает несколько параметров командной строки. Параметр network извлекает ARP-таблицу хоста с помощью функции GetIpNetTable, перечисляет общие ресурсы, связанные с обнаруженными IP-адресами, и добавляет их в очередь шифрования. Также можно указать IP-адрес хоста, чтобы перечислить и зашифровать его общие ресурсы. Параметр local нацелен на все локальные тома, включая не смонтированные в данный момент тома, идентифицированные по идентификатору тома. Кроме того, для шифрования можно напрямую указать каталог или файл.
CUBA перечисляет локальные тома размером более 1 ГБ и сохраняет их GUID в синхронизированном связном списке. Для локального шифрования ВПО использует четыре потока, для сетевого шифрования восемь. Критические секции не дают нескольким потокам одновременно обрабатывать один файл. После завершения последнего потока событие сигнализирует о завершении работы. Затем ВПО удаляет себя.
Для каждого файла CUBA генерирует с помощью функции генерации случайных чисел WolfSSL 44 случайных байта. Первые 32 байта образуют ключ ChaCha20, остальные 12 служат вектором инициализации. Оба значения шифруются встроенным открытым ключом RSA размером 4096 бит. К зашифрованным файлам добавляется заголовок размером 1024 байта с маркером FIDEL.CA, метаданными, зашифрованными ключом и материалом вектора инициализации, а также выравниванием. ВПО проверяет маркер, чтобы не шифровать файлы повторно.
Файлы размером более 2 МБ CUBA обрабатывает блоками по 1 МБ, пропуская заранее заданные участки, чтобы ускорить шифрование. Более мелкие файлы шифруются за одну операцию. Записка-выкуп утверждает, что данные были украдены. Для зашифрованных файлов используется расширение .cuba. Обнаружение поддерживается строками, файловым маркером и шаблонами кода в предоставленном правиле YARA.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
