Shortcut Virus 

2017-06-06 දින සටහන් තබමි

පහත සඳහන් ස්ථානයේ ජාවා Script එකක් මගින් Create වන වෛරස ෆයිල් (exe) extension සහිත වුවත් එවන් ෆයිල් පරිගණකය off කර On කරන සෑම වේලාවකදීම වෙනත් නමකින් ෆයිල් එකක් create වන නිසා ඒ ඒ exe ෆයිල් සඳහා MD5 සහ SHA values ගැනීමේ තේරුමක් නැතිබව මගේ හැඟිමයි. 

C:\Users\Hajitha\AppData\Roaming\nqeian

යම් වෛරස් නිරෝධායන ආයතනයකට මෙය create වීම සිදුවන java script ෆයිල් එකට යම් පිළියමක් කළහැකිනම් මා සිතන්නේ එය වඩාත් කාලෝචිත වන බවයි.  

Shortcut ටික කාලයකට ඉහත දී attack කරන ලද වෛරසයට තවම E-set වලින් ප්‍රතිකර්මයක් නොමැති බව කනගාටුවෙන් දැනුම් දෙන්නේ මෙය තවමත් අප ආයතනය විස්වාස කරනු ලබන හෙයිනි.

 මේ වන විට මෙම shortcut වෛරසය තවදුරටත් වැඩිදියුණු කර ඇති බව නිරීක්ෂණය වේ. මෙම වෛරසය මගින් ඕනෑම USB External data storage එකක් තත්පර කිහිපයකින් Shortcut බවට හරවන අතර එම දත්ත පෙර පරිදි Drive නැමති folder එකකට දමා එය linux ක්‍රමයට බෙහෙවින් සමාන ක්‍රමයක් උපයොගි කර ගනිමින් hide කර එම Drive නැමති folder එකට සමාන තවත් folder එකක් සාදා user ගේ දත්ත ගොනු කිහිපයක් එයට දමා User නොමඟ යවන අතර වෛරසය එවන Creator සිතා සිටින්නේ අප කොන්ඩෙ බැඳපු චීන්නු කියා නම් ඔහුට වැරදී අති බව මෙයින් දන්වනු කැමැත්තෙමි.   

2017-06-22 දින නැවත සටහන් තබමි

මෙම අළුත් වෛරසය පිළිබඳ මා අද දින වන විට කරනා ලද අධ්‍යයනයේ දී හඳුනා ගන්නා ලද කරුණු පහත පරිදි ඔබට ඉදිරිපත් කරන්නම්

1.       Usb Pen එකේ හෝ External Hard Disk එකේ සියළු දත්ත ඉතා සුළු මොහොතකින් සැඟවී නොපෙනී යයි

2.       වෙනදා මෙන් attrib විධානය ලබා දුන්නත් දත්ත වලින් කොටසක් පමනක් Drive folder එකට දමා අනෙකුත් සියළු දත්ත මෙම විශේෂ ක්‍රමය යටතේ සඟවා ඇති බව නිරික්ෂණය වේ.(Super Hide)

3.       Recovery Tools වලින් Active data recovery සහ Disk genius වැනි advance recovery ක්‍රම තුලින් මෙම දත්ත Recover කළහැකි වුවත් මෙවැනි ක්‍රම වලට වඩා හොඳ ක්‍රමයක් Linux භාවිතා කරමින් කළ හැකි බව මගේ යාළුවෙක් මට කිව්ව

මගේ යාළුවා කිව් ක්‍රමය මම ඔබලාට පසුව step by step පෙන්වා දෙන්නම්

 වෛරසය ක්‍රියාත්මක වූ පසු Add වන Modify වන Values සහ add වන Keys පෙන්වන රූප සටහන මගින් ඔබට පෙන්වන්නම්

ඉහත රූපසටහන අනුව Keys 5 ක් සහ අමුතුවෙන් register එකට එකතු වූ Values added ප්‍රමාණය 18 ලෙසද වෙනස් කරන ලද Values ප්‍රමාණය 9 ක් ලෙසද ඉහත රූපසටහන අනුව ඔබට වටහාගත හැකිවේ.

මෙහිදී රූපසටහනේ නිල් පැහැයෙන් දක්වා ඇති විශේෂයෙන් වෛරසය infected PC එකේ  register user values ඒකකි ඒහිදී show super hidden values ඒකට විශේෂ Value එකක් add කරන ආකාරය

මින් පසුව අපේ පරිගණකය තුල අපට තිබෙන attrib action එක ගිලිහි යනවා

මෙවැනි වෛරස attack කරන ලද පරිගණක වලට සම්බන්ධ කරන ලද සියළු අමතර storage's or External Hard disk වල දත්ත සියල්ලම wannacry වෛරසයේ ක්‍රියාකාරීත්වය පෙන්වන ආකාරයටම hide කරන බව නිරීක්ෂණය කෙරේ මෙවැනි වෛරසයක් attack කර ඔබට යම් ගැටළුවක් වී ඇත්නම් නව disk digger Tool එක භාවිතා කර එවැනි දත්ත Recover කරගත හැකි බවද මින් ඉහත attack කරන ලද වෛරසය සඳහා Avg Free virus Guard  එක මගින් පිළියමක් ලබාගත හැකි බවද නිරීක්ෂණය අනුව වටහා ගන්න ලැබුනා

තව දුරටත් මෙම වෛරසය නිර්මාණකරු ශ්‍රිලාංකිකයකු වන බැවින් ඔහුට මින් ඉහත දී ලියන ලද skypee ලෙසින් සඳහන් කරන ලද මොහුගේ මූල් ම Shortcut වෛරසය සඳහා වෛරසය යොදා අලෙවි කරන Botnet Virus එකක් වන Andromeda සඳහා යොදාගෙන ඇති බව දක්නා ලදී. 

   

තවදුරටත් මෙම වෛරසය පිළිබඳ විස්තර පසුවට දන්වන්නම්

අද දිනයේ තවත් රැන්සම්වෙයාර් වෛරසයක් නිකුත්වී ඇත එහි ක්‍රියා කාරීත්වය දෙවන සටහනේ දී දක්වන්නම්

රැන්සම්වෙයාර් (කප්පම්) වෛරසය (WannaCry or WannaCrypt)

රැන්සම්වෙයාර් වෛරස ලෙඩේ ගැන ඔයාලට නවතම තතු කියන්නයි 

මේ මම හදන්නේ 

කාලෙන් කාලෙට අලුත් වෙමින් විවිධාකාර වෙනස් කම් වලින් පිරි මෙම වෛරසය අද වනවිට  ඔයාලගේ පරිගණකයට එන්නේ තවත් දරුණු ආකාරයෙන්

මේ රැන්සම්වෙයාර් වෛරස වලින් කිහිපයක පැරණි ඒවා( උදාහරණ cryptowall, CERBER, SHI....) ආදිනව විඳින්න වුනු අය ලංකාවෙත් හිටියා ඒ අය මගෙන් මේ වෛරසයෙන් ඒ අයගෙ දත්ත නැවත Recover කර ගැනීමට මගෙන් උදවු ඉල්ලා තිබූ වෙලාවේ මම මගේ උපරීම දක්ෂතාවය පාවිච්චි කරල ඒ එක් අයෙකුගේ දත්ත හැරෙන්නට සියළු අයගේ දත්ත මම සියයට 95 ක්ම බේර ගත්ත ඒ අය මේ ගැන සාක්ෂි දරනවා ඇති.

මේ වොන්නක්‍රයි (Wannacry)  නැතිනම් වොන්නක්‍රිපට් වෛරසයේ විශේෂත්වය වන්නේ මෙය attack කරන ආකාරයයි ඒ ගැන මට තවමත්  අනිත් පරිගණක විද්වතුන් ගේ දත්ත තමයි මම මේ POST එකේ ද‍ාන්න බලාපොරොන්තු වන්නේ 

(මොකද මේ වගේ වෛරස attack කළ පරිගණකයක් මම තවම දැකල නැහැ ඒත්....  මෙවැනි වෛරස මම නිරාකරණය කිරීමේදී මා මෙතෙක් ලද අත්දැකීම් අනුව මා අනුමාන කරන දේ වීමට බොහොදුරට ඉඩතියනවා)

වෛරසය ගැන විද්වතුන් කියන ආකාරයට අන්තර්ජාලයට නිරාවරණය කර ඇති windows මෙහෙයුම් පද්ධති අඩංගු මෑතදී යාවත්කාලීන නොකරන ලද (Update) සියළු පරිගණක මෙම වෛරසයට ගොදුරු වීමට ඉඩතියන බව ඔවුන් කියනවා

මම දන්නවා අපේ අයට බොහොම ලොකු ප්‍රශ්ණයක් තියන‍වා කියල Update කිරීම සම්බන්ධයෙන්

 බයවෙන්න එපා 

මේ වෛරසය ලොකෙන් නිට්ටාවටම ඉවත් කර දාන්න Microsoft සමාගම මුදල් පිළිබඳ අදහස ඉවත්කර ඉක්මන් ප්‍රතිකර්මයක් ලෙස ලින්ක් කිහිපයක් මගින් මෙතෙක් Updates නොලියන්න තීරණය කරන ලද සියළුම Windows Operation System වලට Security Patch ගණනාවක් ලියා ඇත.  වහාම ක්‍රියාත්මක වන්න

           Windows xp sp3 සඳහා සහ

Windows vista ( සියළු සංසෝධනයන්)

            Windows Server 2008( සියළු සංසෝධනයන්)

Windows Server 2008 R2( සියළු සංසෝධනයන්)

            Windows 7 SP1   ( සියළු සංසෝධනයන්)

            Windows 8.1 ( සියළු සංසෝධනයන්)

            Windows RT 8.1 ( සියළු සංසෝධනයන්)

            Windows server 2012  සහ  windows server 2012 R2

            Windows 10  ( සියළු සංසෝධනයන්)

           Windows 2016 ( සියළු සංසෝධනයන්)

මෙම ලින්ක් මගින් ඔබේ පරිගණක ඉක්මණින් Updates කරගන්න

http://www.catalog.update.microsoft.com/Search.aspx?q=KB4012598

මේ පිලිබඳව ලංකාවේ පරිගණක හදිසි ප්‍රතිචාර සංසදයේ උපදෙස් සඳහා පහත ලින්ක් එකෙන් දැනගැනීමටත්

http://www.slcert.gov.lk/alert_info.php?id=119

මේ පිලිබඳව ලංකාවේ අර්ධරාජ්‍ය පරිගණක හදිසි ප්‍රතිචාර සංසදයේ මොරටු සරසවියේ  උපදෙස් සඳහා පහත ලින්ක් එකෙන් දැනගැනීමටත් ඔබට පුළුවන්

https://www.techcert.lk/en/alerts-news/275-ransomware-worm-attack-wannacry

මීට අමතරව වෛරසයේ විස්තර සහ වෛරසය ඉවත් කිරීම සඳහා හොඳම වෛරස මෘදුකාංග වර්ග කිහිපයක් අද දිනයේ නිකුත් වී තිබෙනවා  මේ අතරින්

Windows Defender

Kaspersky

BitDefender

ESET-NOD32

AVG

AVIRA(NO CLOUDE)

F-SECURE

යනාදී වශයෙන්......

තවදුරටත් මෙම වෛරසය analyze කර ඇති ආකාරය ඔබට පහත ලින්ක් එක තුලින් බලා ගත හැකියි

https://www.microsoft.com/security/portal/threat/encyclopedia/Entry.aspx?Name=Ransom:Win32/WannaCrypt

මීට අමතරව මේ පහත වීඩියෝ එක පිළිබඳ යම් ඉඟියක් කවර හෝ ආකාරයෙන් ඔබට ලැබුනේ ද එය open කරන්න එපා  

         

Dance of the Hillary (ඩාන්ස ඔෆ් ද හිලරි) නමින් Video එකක් අද හෝ හෙට ඔබේ ජංගම දුරකථනයට ඒවී එය බැලීමට හෝ oPEN කරන්න එපා මෙය ඉතා භයංකාර වෛරසයක් බව BBC ආයතනය අනතුරු හඟවා ඇත.

වෛරසය පිළිබඳ යම් කරුණක් මා ලතොත් මා ඔබට post එකක් දාන්නම්

මම මේ හුඟක් කාලෙකින් වෛරසය ගැන ලියන්න හිතුවත් ලියාගන්න බැරිවුනේ මගේ java දැනුම ගැන තිබුන ප්‍රශ්නයක් නිසා එත් මම මේ shortcut වෛරස් කරයාට තවදුරටත් ඉඩදීම හොඳ නැති නිසා මෙම වෛරසය ලෝකයේ සියළු දෙනාම බේරගන්න හිතාගෙන මම අවසාන පියවරට පය තිබ්බා

මම වෛරසයක දෝෂය හඳුනාගත් පසු මට හැකිනම් ඒ සඳහා සුළු පිළියම් ලබා දුන්නත් මුළු ලෝකයම Update කරන්න මට බැහැ ඒ නිසා මම කරන්නේ Virus Total site එකට මම සොයගන්න වෛරසය upload කරනවා 


පහත රෑ සටහන් තුලින් දක්වතත් මම තවදුරටත් ඔයගොල්ලන්ගේ පහසුව පිණිස වෙන වෙනම වෛරස් ගාඩ් දමා ඒවා update කර මෙම වෛරසය ඇතුලත් කර Scan report එකක් මගින් වෙන වෙනම වෛරස ගාඩ් වලින් මෙම වෛරසය ඇත්තටම Clean කරනවද හරියට බලලා ඔබට කියන්නම්

වෛරස් එක upload කරපු ගමන් වෛරස ගාඩ් බොහ‍ොමයක්ම මෙම වෛරසය අද දිනයෙම හඳුනා ගත් බවත් ඒවා ඊයේ දිනයේ හෝ අද දිනයේ සොයාගෙන ඇති බවත් සහ ඒවායේ වෛරස නාමයන් ද ඔවුන් විසින් දක්වා ඇත

මීට අමතරව virus total site එක මගින්   අමතර තොරතුරු අනුව පහත රූප සටහන බලන්න මෙහිදී 2016-10-26 කවුරුහරි මෙම වෛරසය upload කර ඇති බව වුවත් මේ දක්වාම මෙම වෛරසය සඳහා

 

එවකට වෛරස් ගාඩ් සමාගම් විසින් ගන්නා ලදයි සඳහන් විසඳුම් නිවැරදී වී කිබුනේ නම් මීට ඉහත දී මා පළකරන ලද Post එක බොරුවක් ලෙස කෙනෙකුට අර්ථකථනය කළහැකියයි තර්කයක් ගෙන එන්න පුළුවන් නේද?

Virus Total site එකද මෙහිදී වංචාවක් කරන්න අනුබල දීමක් කරනවා යැයි මාහට පහත දත්ත අනුව පෙන්වා දිය හැකියි.  රූප සටහන බලන්න

 ඉහත දක්වන ලද රූප සටහන වෙන් වෙන් වශයෙන් දැම්මොත් ඉඩ යන නිසා එක පිංතූරයක් විදිහට පහලින් දැක්වෙන රූපසටහනේ ටිකක් පැහැදිලිව පේන්න දැම්මා බලන්න තරු ලකුණින් හයිලයිට් කළේ දැනට භාවිතා කරන ප්‍රධාන වෛරස් ගාඩ් සමාගම් සහ Upload කළ සැනින් Update ලෙස දක්වා ක්ෂණිකව නම් යෙදූ දිනයක් පසුපසට හෝ අද දිනයේම සොයාගත් බවට දැක්වෙන වෛරස නාමයන් 

මම දන්න විදිහට මේ Update වලින් පාරිභොගිකයා අද දිනට මුලා කලත් හෙට සහ මේ ඉදිරි සතිය තුලදී පාරිභෝගික ඔබට සහ අපිට මෙම වෛරසය ඔබ දාලා තියන වෛරස් ගාඩ් වලින් Clean වේවි. සති දෙකකින් පස්සෙ නැවත ලියන්නම්.

Shortcut Virus

මෙම වෛරසය නිර්මාණ කරුවා දැන් ගොඩක් සන්තෝෂයෙන් ඇති මම හිතන්නේ මොකද මේ වෛරසයට තවම වෛරස් ගාඩ් වලින් ප්‍රතිකර්මයක් නැති නිසා මෙවන් වෛරසයක පැවතුම් කාලයට කියන්නේ Zero Day Attack කියල මම දැනගත්තේ ඊයෙ පෙරේදා

මම මේකට කාලය ගත්ත වැඩිනිසා මම හිතුව මේක ලෝකෙ හොඳම virus analysis ලට මේක විසඳන්න භාර දෙන්න ඕන කියල

එහෙම හිතල මම වෛරස් ගාඩ් කිහිපයකින් ම මේ වෛරසය clean කරන්න බැලුව වෛරස් ගාඩ් එකින් එකට check කරල ඒ ඒ වෛරස් ගාඩ් වල තියන බොරුව එලි කරගන්නත් මට හැකිවුනා

 මම ඉස්සෙල්ලම දැම්මේ PC base Endpoint E-set ඒක update කර නැති නිසා කෙනෙකුට කියන්න පුළුවන් Update වුනොත් පමණයි වෛරස් අල්ලන්නේ කියල

එත් මම නිකමට වගේ අපේ පරිගණක වල දාල තියන License Virus Guard එක E-set Endpoint Security Guard  එකත් දාලා Update කරල එහෙම මෙම වෛරසය ඇතුල් කරල සහ වෙනම පරිගණකයක වෛරසය attack කරල තියන එකකට මේ විදිහට Guard එක දාල check කළා ඔන්න බලන්නකො වෙච්ච දේ...

  

මම මේ පින්තූරයේ වම්පස දැක්වෙන්නෙ වෛරසය තියන තැන වන අතර E-set Scanning එක සහ කොළ පැහැයෙන් Update වී ඇති බව පෙන්වනවා ඊට අමතරව මෙය Scan කරන ලද දිනය සහ වෙලාව පිළිබඳ ඔබේ නිසි අවධානයක් යොමු කරන්න

 කියන්න සන්තොෂයි E-set වෛරස් ගාඩ් මොකක් හරි අල්ලනවා වගේ පෙන්වනවා  පලමුවෙන් මම වෛරසය තියල තිබුන තැන අල්ලගෙන ඒක Delete කරනවා බොහොම හොඳයි. වෛරසය තියන තැන තියන pyiiqori.js කියන file එක මේ මොහොතේ පමණක් ක්‍රියාත්මක වෙන ජාව ස්ක්‍රිප්ට් file එක.(මම මෙය කලින් දක්වපු පොස්ට් දෙකේම ඒ බව කියල තියනවා) ඉතින් ඒක මකල දානවා කියලත් වෛරසය හරියටම මැකෙන්නේ Restart  වීමෙන් පස්සේ බවත් පේන්න මේ scan report එකේ පෙන්වන්න තරම් මේ වෛරස් ගාඩ් සමාගම පාරිබොගිකයාව හොදට රවට්ටලා තියනවා

 ඒත් මොකක්ද මේ කපටිකම මේ වගේ කලහම තාමත් වෛරසය ලියපු අයිතිකාරයා සන්තෝෂ වෙනවා   මොකද එයාගේ වෛරසය තවමත් Zero day attack level එකේනෙ තියෙන්නේ

බලන්න Restart කලහම වුන දේ

අපොයි වෙච්ච දෙයක් !!

වෛරස් ගාඩ් සමාගමේ බාල වැඩ
මම මෙච්චර දවසක් ඔයාලට වෛරස් සමාගම් වල රැවටීම් ගැන විස්තර කර කර කාලෙ කනවද කියලත් හිතෙනවා නැත්නම් මෙරට ඉන්න වෛරස් agent ලා කරන අලුගුත්තේරු වැඩක්ද දන්නෙ නැහැ මොකද වෛරස් එකක් සොයාගත් ඕනෑම Virus guard Agent කෙනෙක් ගේ job එක තමයි එය තවදුරටත් පැතිරයාමට ප්‍රථම mother company එකට යවන එක

මේකෙ Clean කරන විදිහ මට හිතෙන්නේ attrib -s -h /s /d Command එක දාලා attributes ටික ඔක්කොම පේන්න දීලා ඒක තමයි desktop.ini එක පේන්නේ

Windows script host file මගින් call කරන Java script file එක නැති නිසා එන error message එක use කරන්නාගේ Desktop එකේ පේනවා

Task manager වල තවම ihytx.exe එක 904k විදිහට memory කනවා වෛරසය සම්පූර්ණයෙන්ම කරන්නේ ඔබේ පරිගණකයේ Memory එක අඩු කරන එක

මේ වෛරසය infected Machine එකක් කිහිප වතාවක් හෝ දිනෙන් දින Shutdown කර On කරන වතාවක් පාසා විවිධ නම් වලින් Task manager වල දිස්වෙනවා Memory එක ඒ ඒ හැම මොහොතෙම ක්‍රියාත්මක වෙමින් තිබෙන වෛරස File වලින් පිරිල භාවිතා කරන්නා නිතරම මැසිවිලි නගන Slow කියන ලෙඩේ බෝ වෙනවා අා......
තව ටිකක් ලියන්න තියනවා මම ඒක වෙන වෛරස් ගාඩ් එකක් එකක Check කරල ලියන්නම් මේකට හොදම වෛරස් ගාඩ් එක මොකක්ද කියල මම කියන්නම්         

hajithakumara.blogspot.com එකට USA වලින් Rank එකකුත් දීලා ඇත්තටම මගේ මේ Rank එක බොහොම ලොකු අගයක් වුවත් මම ඔවුන්ට ස්තූතිවන්ත වෙනව මොකද ලංකාවේ අපි කොච්චර වැඩ කළත් අගය කරන්නන් ඉන්නේ පිට රැටියන් පමණක් වන නිසා 

ඒත් මගේ මාතෘභූමියේ සිටිනා ඔබ මා වෙනුවෙන් මගේ බ්ලොග් එක බලල ඒකට යම් අත්වැලක් දී ඇති නිසා පිටරැටියන්ට මෙන්ම මා ඔබට මාගේ හෘදයාංගම ස්තූතිය පිරිනමමි.

ස්තූතියි සහොදර සහෝදරයිනි අම්මේ තාත්තේ දරුවෙනි දැරියෙනි මා මේ තැනට රැගෙන ආ සියළු දෙනාටම අනේක වාරයක් ස්තූතියි.