Шифровальщик DragonForce шифрует файлы Windows и сетевые ресурсы
Исследованный 32-битный шифровальщик DragonForce для Windows связан с экосистемой DragonForce, работающей по модели вымогателя как услуги. Образец шифрует локальные файлы и доступные для записи SMB-ресурсы, но механизмы удалённого копирования и выполнения не обнаружены. Поэтому он не распространяется самостоятельно как червь.
Сетевое взаимодействие и параметры запуска
Для поиска целей в локальной сети шифровальщик сканирует порт TCP/445, а общие ресурсы дисков перечисляет с помощью NetShareEnum. Он выполняет массовые сетевые записи в ресурсах, доступных для записи с текущим токеном безопасности.
Программа анализирует встроенную конфигурацию, зашифрованную алгоритмом ChaCha8. Параметры можно переопределять через командную строку с помощью -p, -m, -log, -size и -nomutex. В записке с требованием выкупа упоминается DragonForce Ransomware Cartel.
Шифрование и связанные с ним файлы
Для шифрования файлов используется ChaCha8, а данные для восстановления защищаются алгоритмом RSA-4096. Шифровальщик поддерживает полное, заголовочное и полосное шифрование. Исходные имена файлов он кодирует собственной реализацией Base32, добавляет к ним расширение .df_win и записывает в конец каждого файла блок размером 537 байт. В нём содержатся метаданные для восстановления, включая исходный размер файла и параметры режима шифрования.
Операционные записи шифруются с помощью ChaCha8 и сохраняются в C:\Users\Public\log.log. Предсказуемый заголовок журнала позволяет автономно восстановить его ключ и одноразовое значение (nonce).
Завершение процессов и дополнительные возможности
Шифровальщик может завершать процессы, соответствующие настроенному списку из 38 названий, и использовать Restart Manager для снятия блокировок файлов. Удаление теневых копий томов (Volume Shadow Copies) выполняется с помощью WMI и WMIC.exe.
Для необязательного завершения процессов с использованием драйвера ядра предусмотрены внешние компоненты truesight.sys и rentdrv2.sys. Эти драйверы не встроены в исполняемый файл и отключены в восстановленной конфигурации. Также исполняемый файл поддерживает необязательное локальное отложенное выполнение через COM-интерфейсы Планировщика заданий, с принципалом SYSTEM и одноразовым триггером. В исследованной конфигурации планирование и синхронизация времени были отключены.
Образец не выполняет самостоятельно кражу учётных данных, подготовку данных к передаче или их эксфильтрацию. Первоначальный доступ, кражу учётных данных, повышение привилегий и эксфильтрацию данных следует связывать с отдельными инструментами или операторами только при наличии дополнительных доказательств.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
