Aby dostarczyć szkodliwy ładunek, złośliwe oprogramowanie analizowało konkretne aspekty konfiguracji maszyny, w tym występujące w systemie pliki i nazwy folderów. Po uzyskaniu tych informacji były one wykorzystywane jako część klucza do odszyfrowania i uruchomienia ładunku. Oznacza to niestety, że bez znajomości systemów plików i konfiguracji ofiar wirusa badacze nie będą w stanie zbadać złośliwego kodu i dokończyć analiz.

Badacze zaczęli od stosowania edukowanych ataków brute-force polegających na testowaniu milionów kombinacji znaków (plików i nazw folderów) w celu odszyfrowania ładunku. Okazało się to bezskuteczne. Istnieje pewna ciekawa wskazówka w kodzie – algorytm odszyfrowujący sprawdza, czy pierwszy znak pochodzi z rozszerzonego zbioru znaków, np. litery arabskie lub hebrajskie (czy ktoś wspominał o wymierzonym ataku?). Firma poszukuje kryptologów, którzy pomogą złamać kod. Mamy tutaj do czynienia z czymś bardzo interesującym, co zaczyna powoli stawać się trendem.

Chodzi o wykorzystanie Host Identity-Based encryption (IBE) w celu utworzenia dedykowanego programu dla konkretnej maszyny przy użyciu unikalnego identyfikatora. Pierwszymi programistami na świecie, którzy zastosowali tę technikę, byli autorzy botneta FlashBack, który pół roku temu zainfekował ponad 500 000 komputerów Mac OS X. Wirus przedostawał się na komputer poprzez lukę w zabezpieczeniach Javy.

Jednak część ta nie była jeszcze szkodliwym ładunkiem, a jedynie małym elementem pobierającym unikalny identyfikator zainfekowanej maszyny, na przykład sprzętowy UUID. Identyfikator ten wędrował z powrotem do C&C i był wykorzystywany do szyfrowania, kompresji i zaciemniania kodu pełnej wersji, która później atakowała komputer. Oznaczało to, że nowa wersja będzie działała jedynie na komputerze z dokładnie tym samym UUID, co nie pozwalało na analizę tego zagrożenia automatycznym technikom powstrzymywania złośliwego oprogramowania opartego o wzorce (natychmiast przestawały działać).

Tomer Teller, ewangelista bezpieczeństwa i badacz w firmie Check Point Software Technologies

Artykuł zawiera lokowanie marki Check Point.