#WALKERS111: [DDOS] areas PHÂN TÍCH MÃ ĐỘC TỐNG TIỀN LOCKY

Một số lệnh DOS cơ bản cần phải thông thạo

Một số lệnh DOS cơ bản
Khái niệm và thành phần của Ms-Dos (bổ sung)

1. Khái niệm:

Dos là chữ tắt của Disk Oprating System (Hệ điều hành), có nghĩa là nơi chịu trách nhiệm về hoạt động của máy tính.
Để giao tiếp với Dos Command, người ta dùng các câu lệnh, các lệnh này được chia làm 2 loại: Lệnh nội trú và lệnh ngoại trú.
- Lệnh nội trú: thường trực và được lập trình sẵn trong tập tin Command.com
- Lệnh ngoại trú: muốn dùng lệnh này bạn phải có tập tin application tương ứng, sau đó gỏ tên tâp tin này tại dấu nhắc Dos.
Ví dụ, một chương trình có thể yêu cầu Dos đọc nội dung của 1 tập tin, và Dos sẽ làm những công việc chi tiết để thực hiện yêu cầu trên.
Nhưng để giao tiếp với Dos, để cho dos thực hiện những công việc theo ý muốn của mình, bạn cần phải ra lệnh cho nó (command) bằng 1 câu lệnh, chuỗi lệnh... được dựng sẵn theo 1 cú pháp nhất định nào đó.
Khi ra lệnh cho dos, bạn nhập 1 chuỗi kí tự tại dấu nhắc Dos (có dạng C:\>_ hoặc C>), khi đã nhập xong bạn phải ấn phím Enter để báo cho Dos biết bạn đã nhập gì vào đó. Nếu bạn nhập đúng lệnh, Dos sẽ thi hành lệnh đó.

2. Các thành phần cơ bản của Dos - Command

Ổ đĩa hiện hành: Hiển thị 1 chữ chỉ tên ổ đĩa, theo sau là dấu 2 chấm, dấu sổ.
Thư mục hiện hành: Trước thư mục hiện hành là ổ đĩa hiện hành, theo sau là tên thư mục hiện hành. Nếu ở ổ đĩa gốc thì thư mục hiện hành chính là ổ đĩa hiện hành.
Dấu nhắc dos: Thường là dấu lớn hơn ( > )
Lệnh dos: Gõ vào sau dấu nhắc Dos, tại vị trí con trỏ nháy.
Tham số: Chỉ định tập tin, thư mục, ổ đĩa... có liên quan đến lệnh.
Khoá chuyển: Chỉ định các lựa chọn của lệnh, luôn bắt đầu bằng dấu sổ /
Chú ý: Sau khi gõ lệnh phải nhấn phím Enter

Đường dẫn tập tin bao gồm: Kí tự biểu diễn ổ đĩa (A:\, C:\, ...). Dấu gạch chéo ngược ( \ ) theo sau là đừơng dẫn tập tin đầy đủ. Tên tập tin (có thể dùng kí tự đại diện). Ví dụ: C:\Windows\System\Data.dll

II. Các lệnh (nội trú) cơ bản của Ms-Dos

CLS: Xoá màn hình
ECHO: Hiển thị nội dung chuỗi theo sau. Cú pháp: Echo
Ví dụ: Echo Giải thích lệnh này
VER: Hiển thị Version Dos hiện hành của hệ thống
VOL: Hiển thị và cho phép chỉnh sửa tên nhãn đĩa. Cú pháp: VOL [ổ đĩa:]
Ví dụ: VOL C:
CD: Hiển thị hay chuyển đổi thư mục hiện hành.

trong video tôi dùng d: rồi sau đó cd perl là tôi đang di chuyển tới thư mục perl trong ổ d của tôi chổ tôi lưu cái code hvn.pl

Ví dụ: CD C:\Bat chuyển đổi thư mục hiện hành từ C:\Window> Sang C:\Bat
COPY: Sao chép ( các) tập tin vào 1 thư mục hay ổ đĩa. Cú pháp: Copy [ổ đĩa:]\[Đường dẫn]\[(các) tập tin nguồn] [ổ đĩa:]\[Đường dẫn đích]
Ví dụ: Copy C:\Windows\Baitap1.txt D:\LuuTru
DIR: Liệt kê danh sách tập tin trong thư mục chỉ định. Cú pháp: DIR [ổ đĩa:]\[Đường dẫn]\[tên thư mục]
Khoá chuyển:
/P: Liệt kê từng trang màn hình
/W: Liệt kê theo chiều ngang màn hình
Ngoài ra còn có các khoá: /A, /O, /S, /B, /L, /C, /CH
Ví dụ: Dir *.*/s/b
DISKCOPY: Sao chép 1 đĩa mềm. Cú pháp: Diskcopy [đĩa nguồn:] [đĩa đích:]
Ví dụ: DiskCopy A: A:
FORMAT: Tạo dạng đĩa để đưa vào sử dụng.
Cú pháp: FORMAT [ổ đĩa:] [/s] [/f:Size] [/q] [/v: nhãn đĩa]
Ví dụ: Format C: /s Định dạng ổ đĩa C và copy các file hệ thống chép vào để ổ đĩa này có khả năng khởi động được.
Ý nghĩa các khoá chuyển:
/S: Tạo một ổ đĩa có khả năng khởi động
/F: Tạo dạng theo kích thước chỉ định
/Q: Thực hiện tạo dạng nhanh (Quick format )
/U: Tạo dạng không điều kiện (Không giữ lại thông tin UnFormat )
/V: Đặt tên nhãn cho đĩa được tạo dạng
/B: Chừa khoảng trống để chép tập tin hệ thống sau này
/C: Thử nghiệm tất cả các sector để xem cón dùng được hay không
MD: Tạo thư mục con trong thư mục chỉ định (Maker Dir).
Cú pháp: MD [ổ đĩa:]\[đường dẫn]\[tên thư mục muốn tạo]
Ví dụ: MD C:\Bat Tạo 1 thư mục con tên BAT tại thư ục gốc C:\
RD: Xoá thư mục nếu thư mục đó rỗng. Cú pháp: RD [ổ đĩa:]\[đường dẫn]\[tên của thư mục rỗng]

Ví dụ: RD C:\WORK
Copy Con: Tạo mới 1 tập tin. Cú pháp: Copy Con [ổ đĩa:]\[đường dẫn]\[tên tập tin]
Ấn phím CTRL + Z để kết thúc tập tin.
Ví dụ: Copy Con C:\Baitap.txt sẽ tạo mới 1 tập tin Baitap.txt nằm ở thư mục C:\
REN: Đổi tên 1 tập tin. Cú pháp: REN [ổ đĩa:]\[đường dẫn]\[tên cũ tập tin] [ổ đĩa:]\[đường dẫn]\[tên mới tập tin]
Ví dụ: REN C:\BAITAP1.TXT C:\BT.TXT
DEL: Xoá thập tin. Cú pháp: DEL [ổ đĩa:]\[Đường dẫn]\[Tên tập tin]
Khoá chuyển: /P (yêu cầu khẳng định trước khi xoá)
Ví dụ: DEL C:\Windows\Baitap1.txt/P Dos sẽ xoá tập tin Baitap1.txt trong thư mục C:\Windows
MOVE: Di chuyển tập tin tới vị trí thư mục được chỉ định. Lệnh này cũng được dùng để đổi tên thư mục. Cú pháp:
MOVE [ổ đĩa:]\[đường dẫn]\[tên tập tin] [ổ đĩa:]\[đường dẫn]\[tên tập tin mới]
MOVE [ổ đĩa:]\[đường dẫn]\[tên cũ của thư mục] [ổ đĩa:]\[đường dẫn]\[tên mới của thư mục]
Khoá chuyển:
/Y: Chép đè không cần nhắc nhở
Ví dụ 1: Move C:\Work\Letter.txt A:\Mail di chuyển tập tin
Ví dụ 2: Move C:\NC C:\Norton đổi tên tập tin
TYPE: Hiển thị nội dung 1 tập tin văn bản. Cú pháp: Type [ổ đĩa:]\[đường dẫn]\[tên tập tin]
Ví dụ: Type C:\Baitap.txt

DIR : lệnh xem danh sách các thư mục (nội trú )
DIR [d:][path]
Ví dụ : C:>\DIR LUTUR\VANBAN (enter)
Tham số /p /s /w
p pause Liệt kê theo từng trang màn hình
s liệt kê cả thư mục con
w liệt kê theo hàng ngang

CD (change directory) lệnh chuyển thư mục (nội trú )
Chuyển vị trí thư mục hiện hành đến thư mục #
CD [d:][path]

MD (meke directory) Lệnh tạo thư mục (nội trú )
Tạo 1thư mục mới trên đĩa
MD [d:][path]
Ví dụ : tạo muc luutru trên thư mục gốc ổ đĩa
C:\>MD luutru (enter)

REN (rename) đổi tên (nội trú )
REN [d:][path] entơ

TYPE Xem nội dung tệp tin(nội trú )
TYPE [d:][path]

DEL xóa thu muc (nội trú )
DEL [d:][path]

COPY copy thu muc (nội trú )
COPY [d:][path]

DATE xem và sửa đổi ngày tháng hệ thống
Cú pháp DATE entơ
Muốn sửa ngày tháng thì sửa theo kiểu mẫu của hệ thống

TIME xem giờ
Cú pháp :TIME entơ

Ngoài ra còn có
xem phiên bản của HĐH (nội trú )
CÚ pháp VER entơ

Lệnh xóa màn hình
CLS entơ

Lệnh move (ngoại trú )
[d:][path] move [d1:][path1]

Lệnh undelete : phục hội lệnh đã xóa (ngoại trú )
[d:][path] UNDELETE [d1:][path1 ][thamso]
các tham số : [/ALL]
[/list]

Lệnh ATTRIB (ngoại trú )
Xem thiết lập hủy thuộc tính cho tệp
[d:][path]ATTRIB[attributes] [d1:][path1][/S]
A: archive là thuộc tính lưu trữ
S system thuộc tính hệ thống
R Readonly thuộc tính chỉ đọc
H hide thuộc tính ẩn
/S kể cả các tệp có trong thu mục con

lệnh diskcopy (ngoại trú )
Copy đĩa mềm
[d:][path] DISKCOPY [/V] entơ
Điều kiện đĩa nguồn và đích cùng kích cỡ dung lượng
/V verity copy có kiểm tra

Dấu ? trong tên tệp có nghĩa tại đó có thể thay thế bất kỳ một ký tự nào
Dấu * trong phần tên hay phần mở rộng có nghĩa là đại diện cho phần tên hay phần còn lại của phần tên
Ví dụ : *.doc adfsd.doc ds732.doc dsf.doc
?ay.doc : bay.doc tay.doc hay.doc

Nội trú (internal command )
lệnh được tệp command.com phân tích và thi hành
Chúng luôn thường trú trong bộ nhớ Ram sau khi khởi động MS DOS và thường được sử dụng
Ngoại trú (external command)
Là lệnh cho thực hiện một tệp chương trình lưu trên đĩa có phần mở rộng là COM hoặc EXE
Muốn sử dụng lệnh ngoại trú ta cần phải xác định vị trí tệp chứa chương trình trước khi đưa ra tên lệnh

P/S: Rất thất vọng vì sau khi tung ra video hướng dẫn ddos bằng perl chạy trên ms-dos mà các câu lệnh tôi làm các bạn không hiểu.
Học thuộc hết cho tôi, và từ nay về sau cái gì không biết đăng bài hỏi liền tôi sẽ chiệu khó bổ trợ lại cho các bạn cơ bản nhất về máy tính (tin học)

Anons47

tấn công SQL Injection và cách phòng chống

1. SQL Injection là gì?
Bài viết được đăng tại freetuts.net - thehalfheart@gmail.com
SQL Injection là một kỹ thuật lợi dụng những lỗ hổng về câu truy vấn lấy dữ liệu của những website không an toàn trên web, đây là một kỹ thuật tấn công rất phổ biến và sự thành công của nó cũng tương đối cao. Tuy nhiên vào những năm trở lại đây thì xuất hiện nhiều Framwork nên nó giảm hẳn, vì các FW đã hỗ trợ rất tốt việc chống lại hack SQL Injection này.

Chắc hẳn các bạn đã biết mô hình hoạt động của website rồi nhỉ? Khi một request được gửi từ client thì ngôn ngữ SERVER như PHP sẽ lấy các thông tin từ request đó. Nhưng bản thân nó không hề phát hiện ra những thông tin đó có chứa những câu SQL độc, vì thế công việc này ta phải đổ trách nhiệm tới kinh nghiệm của lập trình viên.

Ví dụ: Giả sử tôi có một trang đăng nhập với hai thông tin là tên đăng nhập và mật khẩu.

Và đoạn code xử lý tấn công sql injection của tôi có dạng như sau:

PHP:

$username = $_POST['username'];
$password = $_POST['password'];
$sql = "select count(*) from user where username = '$username' AND password = '$password'";

Trường hợp 1: Bây giờ tôi nhập username = thehalfheart và password = matkhau thì câu truy vấn sẽ là:

select count(*) from user where username = 'thehalfheart AND password = 'matkhau'

Trường hợp 2: Bây giờ tôi nhập username = somename và password = something' OR '1. Như vậy câu sql sẽ là:

SELECT * FROM cms_user WHERE user_username = 'thehalfheart' AND user_password = 'something' OR '1'

Chạy câu truy vấn này lên thì kết quả nó trả về là danh sách user nên nếu code cùi cùi thì login được luôn.

Trên đây là một ví dụ điển hình thôi, chứ thực tế thì hacker còn rất nhiều mưu mẹo khác. Tuy nhiên chung quy lại với kỹ thuật tấn công SQL Injection ta vẫn có thể không chế được nó.

2. PHÒNG CHỐNG SQL INJECTION
Với kinh nghiệm của mình thì thật sự chưa phân tích sâu vào kỹ thuật này, tuy nhiên mình cũng biết chút ít kinh nghiệm để có thể chống lại kỹ thuật này.

2.1. Nhận dữ liệu kiểu INT
Khi bạn nhận dữ liệu ID trên URL thì cách tốt nhất bạn nên ép kiểu, chuyển nó về kiểu số INT, sau đó chuyển về kiểu STRING (nếu cần thiết).

Ví dụ: tôi có url như sau: domain.com/detail.php?id=12

PHP:

$id = isset($_GET['id']) ? (string)(int)$_GET['id'] : false;

Như vậy thì cho dù ta nhập vào kỳ tự gì đi nữa đều sẽ bị clear ra khỏi hết. Hoặc ta có thể dùng cách dước bằng cách dùng hàm preg_replace trong PHP để xóa đi những ký tự không phải là chữ số.

PHP:

$id = isset($_GET['id']) ? $_GET['id'] : false;
$id = str_replace('/[^0-9]/', '', $id);

Rất đơn giản, tuy nhiên mình khuyến khích nên dùng ép kiểu trong PHP, vì nó đơn giản.

2.2 Viết lại đường dẫn có thể chống SQL Injection
Vấn đề này có vẻ hơi lạ nhưng bản thân mình thấy rất đúng. Khi bạn viết lại đường dẫn dù trên hệ thống route của FW hay dù trên file .htaccess thì hãy fix chính xác đoạn mã Regular Expression (Tham khảo Regular Expression căn bản).

Ví dụ: Tôi có đường dẫn sau khi rewirte là như sau: domain.com/hoc-lap-trinh-mien-phi-tai-freetuts.html thì đoạn Regex tôi sẽ viết là:

/([a-zA-Z0-9-]+)/([a-zA-Z0-9-]+)\.html/ . Thay vì như vậy thì tôi sẽ viết chính xác /([a-zA-Z0-9-]+)/([0-9])\.html/ thì sẽ tốt hơn. Và đừng quên là cũng ẩn đi đường link gốc của nó nhé.

2.3 Sử dụng hàm sprintf và mysql_real_escape_string để xác định kiểu dữ liệu cho câu truy vấn.
Như bạn biết hàm sprintf gồm có hai tham số trở lên, tham số thứ nhất là chuỗi và trong đó có chứa một đoạn Regex để thay thế, tham số thứ 2 trở đi là các giá trị sẽ được thay thế tương ứng. Giá trị ráp vào sẽ được convert phù hợp rồi mới rap vào

Ví dụ:

PHP:

$webname = 'freetuts.net';
$title = 'học lập trình miễn phí';
echo sprintf('Website %s laf website %s', $webname, $title);

Kết quả in ra là: Website freetuts.net là website học lập trình miễn phí.

Như bạn biết hàm mysql_real_escape_string có nhiệm vụ sẽ chuyển một chuỗi thành chuỗi query an toàn, nên ta sẽ kết hợp nó để gán vào câu truy vấn. Ví dụ:

PHP:

$sql = "SELECT * FROM member WHERE username = '%s' AND password = '%s'";
echo sprintf($sql, mysql_real_escape_string("thehalfheart"), mysql_real_escape_string("matkhau"));

Kết quả là: SELECT * FROM member WHERE username = 'thehalfheart' AND password = 'matkhau'.

3. Lời kết
Thật sự thì kỹ thuật này rất nhiều và dài, kiến thức của mình chỉ mang tầm căn bản nên mình chỉ share được căn bản. Nếu bạn muốn nâng cao thì có thể đọc thêm tài liệu trên mạng, chủ yếu là tiếng anh. Tuy nhiên thật sự khi đi làm bạn nên sử dụng Framwork, vì FW đa hỗ trợ rất tốt những kiểu tấn công website thông dụng hiện nay rồi, bản thân chúng ta không thể nào tìm hiểu sâu được.

BLOG DO LIPPI

An toàn vật lý Chìa khóa để an toàn ngoài đời thực chính là hành động một cách bình thường, không gây ra sự chú ý quá mức cho bản thân và không tiết lộ thông tin danh tính cho bất kỳ ai. Những bước quan trọng để đạt được điều đó có thể chia thành 2 danh sách: Danh sách những việc cần làm và Danh sách những việc không được làm. Những bước này đặc biệt quan trọng nếu bạn là một nhà hoạt động chính trị. Danh sách những việc cần làm: - Trà trộn vào đám đông - Phân tán vào trong dòng người - Giữ cho hồ sơ cá nhân đơn giản - Cập nhật thông tin, đặc biệt là những điểm tập hợp biểu tình, những trạm kiểm soát an ninh hay rào chắn. - Tìm dấu hiệu của chung của cảnh sát mặc thường phục trong đoàn biểu tình - Che bất cứ thứ gì có thể dùng để lần ra bạn như những hình săm hoặc sẹo - Nếu bạn có tài liệu hay hướng dẫn biểu tình an toàn, hãy đem đến cho những người biểu tình. Thêm những việc cần làm dành cho những người biểu tình: - Hình thành những phương tiện an toàn để liên lạc với những người biểu tình khác - Lên kế hoạch địa điểm tập hợp biểu tình, kế hoạch trốn thoát, và địa điểm tái tập hợp trước khi bắt đầu tham dự một cuộc biểu tình - Tạo ra những kế hoạch dự trù, không chỉ một mà cần nhiều - Tìm kiếm những phương thức liên lạc bởi Anonymous và Telecomix - đọc mục "Phương thức liên lạc" - Cố gắng làm theo Anonymous's Riot Guide để tự tạo mặt nạ chống độc, các chiến thuật phối hợp. Danh sách những việc không được làm: - Không được tin tưởng bất cứ ai tự giới thiệu mình với bạn - Không được tiết lộ bất cứ thông tin cá nhân nào có thể lợi dụng để xác định danh tính của bạn - Không được nhắc đến bất kì điều gì về các mối quan hệ, gia đình hay họ hàng - Không được nhắc đến mối ràng buộc với các nhóm hoạt động - Không được nhắc đến Anonymous với bất kỳ ai mà bạn không biết - Không được nhắc đến bất kỳ điều gì về quá khứ của bạn

Chủ Nhật, 28 tháng 8, 2016

[DDOS] areas PHÂN TÍCH MÃ ĐỘC TỐNG TIỀN LOCKY

Vào tháng 2/2016, mạng Internet đã bị rúng động vì một loại mã độc tống tiền (ransomware) mới có tên là Locky. Theo báo cáo cho thấy mã độc tống tiền Locky đã lây lan người dùng hơn 114 quốc gia trên thế giới. Phân tích mẫu mã độc cho thấy đây là một loại Trojan hoàn toàn mới. Vậy Locky là gì và làm sao có thể chống lại mã độc này? Hãy cùng tìm hiểu.

Cách thức phát tán

Để phát tán một lọai Trojan, tin tặc thường gửi spam lượng lớn email cùng với các tệp tin đính kèm độc hại. Tệp tin đính kèm ở đây là một tệp tin văn bản .DOC chứa macro độc hại tải Locky Trojan từ máy chủ về máy tính nạn nhân và thực thi nó.

Tin nhắn rác chứa tài liệu đính kèm độc hại

Một đoạn mã của macro độc hại

Các phiên bản Microsoft Office mới thường vô hiệu hóa chạy macro tự độc vì lí do bảo mật. Tuy nhiên, thực tế cho thấy người dùng rất thường xuyên kích hoạt thủ công macro, thậm chí ngay cả trên tài liệu tải về từ nguồn không rõ ràng, dẫn đến hậu quả khó lường.

Hiện tại, tin tặc đã thay đổi các tệp tin đính kèm thành tệp tin nén ZIP chứa một hoặc nhiều đoạn mã JavaScript được làm rối nhằm che mắt người dùng. Tin nhắn rác được gửi đến thường được viết bằng tiếng Anh, cũng có một vài ngôn ngữ khác được sử dụng.

Thư rác được viết bằng tiếng Anh với một tệp tin đính kèm được nén

Thư rác được viết bằng tiếng Anh và tiếng Đức

Người dùng sẽ được thông báo khởi động các tệp tin script

Nội dung tệp tin đính kèm đã được nén

Một đoạn mã script trong tệp tin nén

Nếu được kích hoạt, đoạn mã script sẽ tải về Locky Trojan từ máy chủ trên Internet và khởi chạy nó.

Các quốc gia bị tấn công

Danh sách 10 quốc gia bị lây nhiễm nhiều nhất

Tên quốc gia	Số lượng người dùng bị tấn công
Pháp	469
Đức	340
Ấn Độ	267
Hoa Kỳ	224
Nam Phi	182
Ý	171
Mexico	159
Brazil	156
Trung Quốc	126
Việt Nam	107

Cần lưu ý rằng thống kê trên chỉ bao gồm những trường hợp mã độc Locky được phát hiện bởi các công cụ diệt virus và không bao gồm các phát hiện giai đoạn đầu như thư rác hoặc các phần mềm độc hại tự động tải mã độc.

Cách thức hoạt động

Locky Trojan là một tệp tin thực thi, có dung lượng khoảng 100 kb. Nó được viết bằng ngôn ngữ C++ sử dụng STL và được biên dịch bởi Microsoft Visual Studio. Khi được khởi động, mã độc sẽ tự sao chép đến %TEMP%\svchost.exe và xóa luồng dữ liệu NTFS trên ổ đĩa cứng – điều này được thực hiện nhằm đảm bảo khi thực thi, Windows không hiển thị cảnh báo rằng tệp tin được tải về từ Internet và có thể gây nguy hiểm. Trojan Locky sẽ được chạy từ thư mục %TEMP%.

Mã độc sẽ kiểm tra sự tồn tại và nội dung của các khóa registry sau:

Đường dẫn	Kiểu	Giá trị
HKEY_CURRENT_USER\Software\Locky\id	REG_SZ	Infection ID
HKEY_CURRENT_USER\Software\Locky\pubkey	REG_BINARY	Public RSA key in MSBLOB format
HKEY_CURRENT_USER\Software\Locky\paytext	REG_BINARY	Text shown to the victim
HKEY_CURRENT_USER\Software\Locky\completed	REG_DWORD	Status (whether encryption is completed)

Nếu dữ liệu trên tồn tại trong các khóa registry (có nghĩa là Trojan này đã từng được chạy nhưng bị dừng lại vì lí do nào đó), Locky sẽ đọc dữ liệu và tiếp tục quá trình lây nhiễm. Với lần chạy đầu tiên, Locky sẽ thực hiện các hành vi sau:

Liên lạc với máy chủ điều khiển C&C và báo cáo lây nhiễm
Nhận một khóa công khai RSA-2048 và ID lây nhiễm từ máy chủ điều khiển, lưu vào registry
Gửi thông tin về ngôn ngữ của hệ điều hành bị lây nhiễm, nhận thông báo hiển thị đòi tiền chuộc từ tin tặc, lưu thành dạng text trong registry
Tìm kiếm các tệp tin với phần mở rộng cụ thể trên ổ đĩa cứng của máy bị lây nhiễm, mã hóa chúng
Xóa các bản sao chép shadow copies của các tệp tin
Ghi mã độc vào phần tự khởi động (HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run)
Tìm kiếm và mã hóa các tệp tin có phần mở rộng đặc biệt trên các ổ đĩa của mạng chia sẻ và trên các tài nguyên mạng không được gán tên ổ đĩa
Hiển thị thông điệp đòi tiền chuộc đến nạn nhân
Dừng hoạt động và tự xóa

Đoạn mã xác định ngôn ngữ của hệ điều hành

Danh sách các tệp tin bị mã hóa

Mã độc Locky sẽ tìm kiếm các tệp tin có phần mở rộng sau đây:

Danh sách các phần mở rộng của tệp tin sẽ bị mã hóa

Mã độc locky thêm đoạn mã vào cuối mỗi tệp tin mã hóa

Với mỗi tệp tin phù hợp, mã độc Locky sẽ tạo ra một khóa 128-bit và mã hóa nội dung tệp tin với thuật toán AES-128 trong chế độ CTR. Tệp tin bị mã hóa sẽ có tên .locky . Cấu trúc sau sẽ được thêm vào phần cuối của tệp tin:

Trong cú pháp ngôn ngữ C, đoạn mã trên được giải thích như sau:

struct file_data
{
uint32_t start_marker; //Structure start marker = 0x8956FE93
char id[16]; //Infection ID
uint8_t aes_key[256]; //AES key encrypted with RSA-2048
uint32_t name_marker; //Name start marker encrypted with AES (= 0xD41BA12A after decryption)
uint8_t orig_name[520]; //Original file name encrypted with AES
WIN32_FILE_ATTRIBUTE_DATA attr; //Original file attributes encrypted with AES
};

Thông điệp đòi tiên chuộc

Sau khi mã hóa tệp tin của người dùng, Trojan Locky sẽ hiển thị thông điệp dưới đây:

Thông điệp đòi tiền chuộc bằng tiếng Anh

Thông điệp đòi tiền chuộc bằng tiếng Đức

Trong những chiến dịch tấn công đầu tiên, trang thanh toán tiền chuộc sẽ có dạng như sau:

Trang thanh toán của Locky phiên bản đầu tiên

Trong trang này, tin tặc đề nghị nạn nhân trả tiền dưới dạng bitcoin để được giải mã các tệp tin bị mã hóa trên máy tính. Tin tặc cũng đưa ra hướng dẫn cách thanh toán bằng đồng tiền bitcoin.

Nội dung và thiết kế của trang thanh toán hiện tại đã thay đổi, có sẵn hơn 20 ngôn ngữ để lựa chọn:

Trang thanh toán của Locky phiên bản mới nhất

Trong mã nguồn ta có thể thấy danh sách đầy đủ các ngôn ngữ được hỗ trợ. Tin tặc đang làm hết mình để có thể giao tiếp với nạn nhân tại các quốc gia lớn bị tấn công. Tuy nhiên, ngôn ngữ Nga và ngôn ngữ các quốc gia thuộc liên bang Nga cũ lại không hề có trong danh sách.

Danh sách các ngôn ngữ được hỗ trợ trên trang thanh toán của Locky

Kết nối với máy chủ điều khiển (C&C)
Trong đoạn mã của Locky chứa từ 1 đến 3 địa chỉ IP của máy chủ C&C. Đoạn mã dùng thuật toán tạo ra địa chỉ C&C mới (DGA, thuật toán tạo tên miền) dựa trên ngày tháng năm hiện tại. Với thuật toán này, 6 địa chỉ C&C được tạo ra mỗi ngày. Đoạn mã giả cho thấy thuật toán DGA được đánh dấu trong hình dưới đây:

Đoạn mã giả thuật toán tạo tên miền C&C Locky

Kết nối đến một C&C được thực hiện thông qua giao thức HTTP. Mã độc Locky gửi một yêu cầu POST request đến địa chỉ với định dạng http:///main.php; dữ liệu truyền tải sẽ được mã hóa với một thuật toán đối xứng đơn giản.

Các dạng thông số được gửi đi bao gồm:

1, Thông báo về lây nhiễm thành công và yêu cầu khóa

id=
&act=getkey&affid=
&lang=
&corp=
&serv=
&os=
&sp=
&x64=

2, Gửi danh sách các đường dẫn bị mã hóa

id=
&act=report&data=

Với mỗi ổ đĩa đã được xử lý, Locky sẽ gửi dến máy chủ điều khiển một danh sách tất cả đường dẫn của tất cả các tệp tin.

3, Gửi thống kê mỗi ổ đĩa cứng được xử lý

id=
&act=stats&path=
&encrypted=
&failed=
&length=

Tin tặc thu thập số liệu thống kê rất chi tiết về mỗi thiết bị lẫy nhiêm. Các họ mã độc tống tiền khác thường không làm việc này.

Các biện pháp ngăn chặn
Locky là một loại mã độc tống tiền điển hình. Tuy nhiên nó lại khiến các nhà nghiên cứu bảo mật chú ý bởi sự linh hoạt và phát tán rộng rãi. Để bảo vệ bản thân khỏi loại mã độc tống tiền Locky, thực hiện các biện pháp sau:

Không mở các tệp tin đính kèm trong email được gửi từ nguồn không rõ ràng.
Sao lưu dữ liệu định kì và lưu trữ bản sao sao lưu trên một thiết bị lưu trữ tách khác rời hoặc lưu trữ trên cloud.
Thường xuyên cập nhật phần mềm diệt virus, hệ điều hành và các phần mềm cài đặt trên máy tính.
Tạo một thư mục mạng riêng biệt với mỗi người dùng khi quản lý truy cậ

#WALKERS111

MENU

PROFIL

Teman

Langgan

Shoutbox

CALY Systems

AnonsTrickers

Một số lệnh DOS cơ bản cần phải thông thạo

tấn công SQL Injection và cách phòng chống

Label

Label

Label

Label

Anonmous

Outros Downloads

Comunidade

Radio Virtual DJ

Pedidos/Recados

Pesquisar

Estáticas

BLOG DO LIPPI

Chủ Nhật, 28 tháng 8, 2016

[DDOS] areas PHÂN TÍCH MÃ ĐỘC TỐNG TIỀN LOCKY

Không có nhận xét nào:

Đăng nhận xét

#WALKERS111

Wikipedia

Populars !!

Anonymous - Message to the Citizens of the World VI

Column 1

Sitemap

Tìm kiếm Blog này

Tools For DDoSing

Hacking News

Anons47 Informations

Recent Posts

Giới thiệu về tôi

Pictures

ANONYMOUS GRUOPS

ANONYMOUS - ANONS47

Translate

Page Fans

Entri Populer

Entri Populer

Pencarian

TULISAN

Top Read

CONTACTS

Accepts