රැන්සම්වෙයාර් (කප්පම්) වෛරසය (WannaCry or WannaCrypt)

රැන්සම්වෙයාර් වෛරස ලෙඩේ ගැන ඔයාලට නවතම තතු කියන්නයි 

මේ මම හදන්නේ 

කාලෙන් කාලෙට අලුත් වෙමින් විවිධාකාර වෙනස් කම් වලින් පිරි මෙම වෛරසය අද වනවිට  ඔයාලගේ පරිගණකයට එන්නේ තවත් දරුණු ආකාරයෙන්

මේ රැන්සම්වෙයාර් වෛරස වලින් කිහිපයක පැරණි ඒවා( උදාහරණ cryptowall, CERBER, SHI....) ආදිනව විඳින්න වුනු අය ලංකාවෙත් හිටියා ඒ අය මගෙන් මේ වෛරසයෙන් ඒ අයගෙ දත්ත නැවත Recover කර ගැනීමට මගෙන් උදවු ඉල්ලා තිබූ වෙලාවේ මම මගේ උපරීම දක්ෂතාවය පාවිච්චි කරල ඒ එක් අයෙකුගේ දත්ත හැරෙන්නට සියළු අයගේ දත්ත මම සියයට 95 ක්ම බේර ගත්ත ඒ අය මේ ගැන සාක්ෂි දරනවා ඇති.

මේ වොන්නක්‍රයි (Wannacry)  නැතිනම් වොන්නක්‍රිපට් වෛරසයේ විශේෂත්වය වන්නේ මෙය attack කරන ආකාරයයි ඒ ගැන මට තවමත්  අනිත් පරිගණක විද්වතුන් ගේ දත්ත තමයි මම මේ POST එකේ ද‍ාන්න බලාපොරොන්තු වන්නේ 

(මොකද මේ වගේ වෛරස attack කළ පරිගණකයක් මම තවම දැකල නැහැ ඒත්....  මෙවැනි වෛරස මම නිරාකරණය කිරීමේදී මා මෙතෙක් ලද අත්දැකීම් අනුව මා අනුමාන කරන දේ වීමට බොහොදුරට ඉඩතියනවා)

වෛරසය ගැන විද්වතුන් කියන ආකාරයට අන්තර්ජාලයට නිරාවරණය කර ඇති windows මෙහෙයුම් පද්ධති අඩංගු මෑතදී යාවත්කාලීන නොකරන ලද (Update) සියළු පරිගණක මෙම වෛරසයට ගොදුරු වීමට ඉඩතියන බව ඔවුන් කියනවා

මම දන්නවා අපේ අයට බොහොම ලොකු ප්‍රශ්ණයක් තියන‍වා කියල Update කිරීම සම්බන්ධයෙන්

 බයවෙන්න එපා 

මේ වෛරසය ලොකෙන් නිට්ටාවටම ඉවත් කර දාන්න Microsoft සමාගම මුදල් පිළිබඳ අදහස ඉවත්කර ඉක්මන් ප්‍රතිකර්මයක් ලෙස ලින්ක් කිහිපයක් මගින් මෙතෙක් Updates නොලියන්න තීරණය කරන ලද සියළුම Windows Operation System වලට Security Patch ගණනාවක් ලියා ඇත.  වහාම ක්‍රියාත්මක වන්න

           Windows xp sp3 සඳහා සහ

Windows vista ( සියළු සංසෝධනයන්)

            Windows Server 2008( සියළු සංසෝධනයන්)

Windows Server 2008 R2( සියළු සංසෝධනයන්)

            Windows 7 SP1   ( සියළු සංසෝධනයන්)

            Windows 8.1 ( සියළු සංසෝධනයන්)

            Windows RT 8.1 ( සියළු සංසෝධනයන්)

            Windows server 2012  සහ  windows server 2012 R2

            Windows 10  ( සියළු සංසෝධනයන්)

           Windows 2016 ( සියළු සංසෝධනයන්)

මෙම ලින්ක් මගින් ඔබේ පරිගණක ඉක්මණින් Updates කරගන්න

http://www.catalog.update.microsoft.com/Search.aspx?q=KB4012598

මේ පිලිබඳව ලංකාවේ පරිගණක හදිසි ප්‍රතිචාර සංසදයේ උපදෙස් සඳහා පහත ලින්ක් එකෙන් දැනගැනීමටත්

http://www.slcert.gov.lk/alert_info.php?id=119

මේ පිලිබඳව ලංකාවේ අර්ධරාජ්‍ය පරිගණක හදිසි ප්‍රතිචාර සංසදයේ මොරටු සරසවියේ  උපදෙස් සඳහා පහත ලින්ක් එකෙන් දැනගැනීමටත් ඔබට පුළුවන්

https://www.techcert.lk/en/alerts-news/275-ransomware-worm-attack-wannacry

මීට අමතරව වෛරසයේ විස්තර සහ වෛරසය ඉවත් කිරීම සඳහා හොඳම වෛරස මෘදුකාංග වර්ග කිහිපයක් අද දිනයේ නිකුත් වී තිබෙනවා  මේ අතරින්

Windows Defender

Kaspersky

BitDefender

ESET-NOD32

AVG

AVIRA(NO CLOUDE)

F-SECURE

යනාදී වශයෙන්......

තවදුරටත් මෙම වෛරසය analyze කර ඇති ආකාරය ඔබට පහත ලින්ක් එක තුලින් බලා ගත හැකියි

https://www.microsoft.com/security/portal/threat/encyclopedia/Entry.aspx?Name=Ransom:Win32/WannaCrypt

මීට අමතරව මේ පහත වීඩියෝ එක පිළිබඳ යම් ඉඟියක් කවර හෝ ආකාරයෙන් ඔබට ලැබුනේ ද එය open කරන්න එපා  

         

Dance of the Hillary (ඩාන්ස ඔෆ් ද හිලරි) නමින් Video එකක් අද හෝ හෙට ඔබේ ජංගම දුරකථනයට ඒවී එය බැලීමට හෝ oPEN කරන්න එපා මෙය ඉතා භයංකාර වෛරසයක් බව BBC ආයතනය අනතුරු හඟවා ඇත.

වෛරසය පිළිබඳ යම් කරුණක් මා ලතොත් මා ඔබට post එකක් දාන්නම්

මම මේ හුඟක් කාලෙකින් වෛරසය ගැන ලියන්න හිතුවත් ලියාගන්න බැරිවුනේ මගේ java දැනුම ගැන තිබුන ප්‍රශ්නයක් නිසා එත් මම මේ shortcut වෛරස් කරයාට තවදුරටත් ඉඩදීම හොඳ නැති නිසා මෙම වෛරසය ලෝකයේ සියළු දෙනාම බේරගන්න හිතාගෙන මම අවසාන පියවරට පය තිබ්බා

මම වෛරසයක දෝෂය හඳුනාගත් පසු මට හැකිනම් ඒ සඳහා සුළු පිළියම් ලබා දුන්නත් මුළු ලෝකයම Update කරන්න මට බැහැ ඒ නිසා මම කරන්නේ Virus Total site එකට මම සොයගන්න වෛරසය upload කරනවා 


පහත රෑ සටහන් තුලින් දක්වතත් මම තවදුරටත් ඔයගොල්ලන්ගේ පහසුව පිණිස වෙන වෙනම වෛරස් ගාඩ් දමා ඒවා update කර මෙම වෛරසය ඇතුලත් කර Scan report එකක් මගින් වෙන වෙනම වෛරස ගාඩ් වලින් මෙම වෛරසය ඇත්තටම Clean කරනවද හරියට බලලා ඔබට කියන්නම්

වෛරස් එක upload කරපු ගමන් වෛරස ගාඩ් බොහ‍ොමයක්ම මෙම වෛරසය අද දිනයෙම හඳුනා ගත් බවත් ඒවා ඊයේ දිනයේ හෝ අද දිනයේ සොයාගෙන ඇති බවත් සහ ඒවායේ වෛරස නාමයන් ද ඔවුන් විසින් දක්වා ඇත

මීට අමතරව virus total site එක මගින්   අමතර තොරතුරු අනුව පහත රූප සටහන බලන්න මෙහිදී 2016-10-26 කවුරුහරි මෙම වෛරසය upload කර ඇති බව වුවත් මේ දක්වාම මෙම වෛරසය සඳහා

 

එවකට වෛරස් ගාඩ් සමාගම් විසින් ගන්නා ලදයි සඳහන් විසඳුම් නිවැරදී වී කිබුනේ නම් මීට ඉහත දී මා පළකරන ලද Post එක බොරුවක් ලෙස කෙනෙකුට අර්ථකථනය කළහැකියයි තර්කයක් ගෙන එන්න පුළුවන් නේද?

Virus Total site එකද මෙහිදී වංචාවක් කරන්න අනුබල දීමක් කරනවා යැයි මාහට පහත දත්ත අනුව පෙන්වා දිය හැකියි.  රූප සටහන බලන්න

 ඉහත දක්වන ලද රූප සටහන වෙන් වෙන් වශයෙන් දැම්මොත් ඉඩ යන නිසා එක පිංතූරයක් විදිහට පහලින් දැක්වෙන රූපසටහනේ ටිකක් පැහැදිලිව පේන්න දැම්මා බලන්න තරු ලකුණින් හයිලයිට් කළේ දැනට භාවිතා කරන ප්‍රධාන වෛරස් ගාඩ් සමාගම් සහ Upload කළ සැනින් Update ලෙස දක්වා ක්ෂණිකව නම් යෙදූ දිනයක් පසුපසට හෝ අද දිනයේම සොයාගත් බවට දැක්වෙන වෛරස නාමයන් 

මම දන්න විදිහට මේ Update වලින් පාරිභොගිකයා අද දිනට මුලා කලත් හෙට සහ මේ ඉදිරි සතිය තුලදී පාරිභෝගික ඔබට සහ අපිට මෙම වෛරසය ඔබ දාලා තියන වෛරස් ගාඩ් වලින් Clean වේවි. සති දෙකකින් පස්සෙ නැවත ලියන්නම්.

Shortcut Virus

මෙම වෛරසය නිර්මාණ කරුවා දැන් ගොඩක් සන්තෝෂයෙන් ඇති මම හිතන්නේ මොකද මේ වෛරසයට තවම වෛරස් ගාඩ් වලින් ප්‍රතිකර්මයක් නැති නිසා මෙවන් වෛරසයක පැවතුම් කාලයට කියන්නේ Zero Day Attack කියල මම දැනගත්තේ ඊයෙ පෙරේදා

මම මේකට කාලය ගත්ත වැඩිනිසා මම හිතුව මේක ලෝකෙ හොඳම virus analysis ලට මේක විසඳන්න භාර දෙන්න ඕන කියල

එහෙම හිතල මම වෛරස් ගාඩ් කිහිපයකින් ම මේ වෛරසය clean කරන්න බැලුව වෛරස් ගාඩ් එකින් එකට check කරල ඒ ඒ වෛරස් ගාඩ් වල තියන බොරුව එලි කරගන්නත් මට හැකිවුනා

 මම ඉස්සෙල්ලම දැම්මේ PC base Endpoint E-set ඒක update කර නැති නිසා කෙනෙකුට කියන්න පුළුවන් Update වුනොත් පමණයි වෛරස් අල්ලන්නේ කියල

එත් මම නිකමට වගේ අපේ පරිගණක වල දාල තියන License Virus Guard එක E-set Endpoint Security Guard  එකත් දාලා Update කරල එහෙම මෙම වෛරසය ඇතුල් කරල සහ වෙනම පරිගණකයක වෛරසය attack කරල තියන එකකට මේ විදිහට Guard එක දාල check කළා ඔන්න බලන්නකො වෙච්ච දේ...

  

මම මේ පින්තූරයේ වම්පස දැක්වෙන්නෙ වෛරසය තියන තැන වන අතර E-set Scanning එක සහ කොළ පැහැයෙන් Update වී ඇති බව පෙන්වනවා ඊට අමතරව මෙය Scan කරන ලද දිනය සහ වෙලාව පිළිබඳ ඔබේ නිසි අවධානයක් යොමු කරන්න

 කියන්න සන්තොෂයි E-set වෛරස් ගාඩ් මොකක් හරි අල්ලනවා වගේ පෙන්වනවා  පලමුවෙන් මම වෛරසය තියල තිබුන තැන අල්ලගෙන ඒක Delete කරනවා බොහොම හොඳයි. වෛරසය තියන තැන තියන pyiiqori.js කියන file එක මේ මොහොතේ පමණක් ක්‍රියාත්මක වෙන ජාව ස්ක්‍රිප්ට් file එක.(මම මෙය කලින් දක්වපු පොස්ට් දෙකේම ඒ බව කියල තියනවා) ඉතින් ඒක මකල දානවා කියලත් වෛරසය හරියටම මැකෙන්නේ Restart  වීමෙන් පස්සේ බවත් පේන්න මේ scan report එකේ පෙන්වන්න තරම් මේ වෛරස් ගාඩ් සමාගම පාරිබොගිකයාව හොදට රවට්ටලා තියනවා

 ඒත් මොකක්ද මේ කපටිකම මේ වගේ කලහම තාමත් වෛරසය ලියපු අයිතිකාරයා සන්තෝෂ වෙනවා   මොකද එයාගේ වෛරසය තවමත් Zero day attack level එකේනෙ තියෙන්නේ

බලන්න Restart කලහම වුන දේ

අපොයි වෙච්ච දෙයක් !!

වෛරස් ගාඩ් සමාගමේ බාල වැඩ
මම මෙච්චර දවසක් ඔයාලට වෛරස් සමාගම් වල රැවටීම් ගැන විස්තර කර කර කාලෙ කනවද කියලත් හිතෙනවා නැත්නම් මෙරට ඉන්න වෛරස් agent ලා කරන අලුගුත්තේරු වැඩක්ද දන්නෙ නැහැ මොකද වෛරස් එකක් සොයාගත් ඕනෑම Virus guard Agent කෙනෙක් ගේ job එක තමයි එය තවදුරටත් පැතිරයාමට ප්‍රථම mother company එකට යවන එක

මේකෙ Clean කරන විදිහ මට හිතෙන්නේ attrib -s -h /s /d Command එක දාලා attributes ටික ඔක්කොම පේන්න දීලා ඒක තමයි desktop.ini එක පේන්නේ

Windows script host file මගින් call කරන Java script file එක නැති නිසා එන error message එක use කරන්නාගේ Desktop එකේ පේනවා

Task manager වල තවම ihytx.exe එක 904k විදිහට memory කනවා වෛරසය සම්පූර්ණයෙන්ම කරන්නේ ඔබේ පරිගණකයේ Memory එක අඩු කරන එක

මේ වෛරසය infected Machine එකක් කිහිප වතාවක් හෝ දිනෙන් දින Shutdown කර On කරන වතාවක් පාසා විවිධ නම් වලින් Task manager වල දිස්වෙනවා Memory එක ඒ ඒ හැම මොහොතෙම ක්‍රියාත්මක වෙමින් තිබෙන වෛරස File වලින් පිරිල භාවිතා කරන්නා නිතරම මැසිවිලි නගන Slow කියන ලෙඩේ බෝ වෙනවා අා......
තව ටිකක් ලියන්න තියනවා මම ඒක වෙන වෛරස් ගාඩ් එකක් එකක Check කරල ලියන්නම් මේකට හොදම වෛරස් ගාඩ් එක මොකක්ද කියල මම කියන්නම්         

hajithakumara.blogspot.com එකට USA වලින් Rank එකකුත් දීලා ඇත්තටම මගේ මේ Rank එක බොහොම ලොකු අගයක් වුවත් මම ඔවුන්ට ස්තූතිවන්ත වෙනව මොකද ලංකාවේ අපි කොච්චර වැඩ කළත් අගය කරන්නන් ඉන්නේ පිට රැටියන් පමණක් වන නිසා 

ඒත් මගේ මාතෘභූමියේ සිටිනා ඔබ මා වෙනුවෙන් මගේ බ්ලොග් එක බලල ඒකට යම් අත්වැලක් දී ඇති නිසා පිටරැටියන්ට මෙන්ම මා ඔබට මාගේ හෘදයාංගම ස්තූතිය පිරිනමමි.

ස්තූතියි සහොදර සහෝදරයිනි අම්මේ තාත්තේ දරුවෙනි දැරියෙනි මා මේ තැනට රැගෙන ආ සියළු දෙනාටම අනේක වාරයක් ස්තූතියි.

Pen Virus (Shortcut) 2016 දෙවැනි කොටස

අනේ සමාවෙන්න ඕන ඔයගොල්ලන් මට මේ දවස්වල ටිකක් විතර busy  වුනා ඒ නිසා දින 04 ක් විතර ඉතිරි ටික ලියන්න පරක්කු වුනේ.

 හොඳයි අපි බලමු දැන් මේ වෛරසය පරිගණකය තුල ක්‍රියාත්මක වෙන්නේ කොහොමද කියල

දැන් ඔයගොල්ලෝ බලන්නේ Java Script file එකට ‍මොකද වුනේ කියලනේ මොකද task manager එකේ run වෙන්නේ වෙන නමකින් නිසා ඔන්න බලන්නකෝ පහත  පෙන්වන java script එක edit කරල තියන පහත රූපසටහන

 Java script වලින් ලියා ඇත්තේ variable කිහිපයක් ලෙසට ලියා ඇති කොටස පමණයි ඉහත රූපසටහන හොඳින් බලන්න (a) වලට සමාන කර ඇති variables ගණන මෙහිදී වෛරසයේ නිර්මාතෘ කොතරම් කපටියෙක් දැයි ඔබට හිතාගත හැකිද Java යොදාගෙන ඇත්තේ Virus  නිරෝධායන ක්‍රියාවලින් සිදුකරන අය නොමග යැවීමක් ලෙසයි එහි කොතැනක හෝ C: වල හෝ Operating system එක දුවන folder එකේ users ලා හඳුනාගෙන ඒ user ගේ (සැලකිය යුතුයි මෙම වෛරසය run වන්නේ අදාල  user Log වීමේන් පසු බව) appdata\roaming වල windows වලට කිසි සම්බන්ධයක් නැති  NQELAN නැමැති folder එකේ සිට Run වන මෙම වෛරසය java file එකේ ලියා ඇති පරිදි නම වෙනස් කරමින් ක්‍රියාත්මක කෙරේ. පහත රූපසටහන බලන්න

 

බලන්න මෙම වෛරසය modified date සහ නම පරිගණකය On/Off  කරන සෑම අවස්ථාවක දීම මෙම begkyy නැමැති application එකට අමතරව තවත් application එකක් ක්‍රියත්මක වේ මෙසේ කිහිපවතාවක් On/Off  කළහොත් වෛරසය කිහිප විදිහකින් Run වීමක් සිදුවේ ඉන් වියහැකි අතුරු ආබාධය පසුව විස්තර කරන්නම් රූ සටහන බලන්න

    

 දැන් මොකද හිතෙන්නේ?

හොඳයි මේ රූපසටහනේ මම පෙන්වන්න උත්සහ කරන්නේ වෛරසය නිර්මාණකරුවාගේ විවිධ පැතිකඩ ඔස්සේ ඔහු කරන ලද අධ්‍යයනයන් මේ සඳහා පාදක කරගෙන ඇති ආකාරයයි 2016-11-11 දිනයේ මා system එකට log වන විට එදිනට සරිලන ලෙසින් නමක් සහිත වෛරසය ආකාර දෙකකින් ක්‍රියාත්මක වෙමින් අදාල folder එක තුල තවත් application file එකක් ආකාරයෙන් run වන අතර මෙය CPU Process වලට බලපෑමක් නැති අතර memory වලට යම්කිසි බලපෑමක් කර ඇති බව පෙන්වනව නේද

අදට මේ සටහන නවත්වන්නම් මම තවදුරටත් විස්ථර හෙට ලියන්නම් .... සුභ දවසක්

Pen Virus (Shortcut) 2016

ඔබ ගේ Pen drive එකේ දත්ත නැතිවෙලා ද  පෙනෙන්නේ පහත රූපයේ පෙනෙන විදිහටද

 

මම අද සටහන් තබන්නේ අලුත්ම වෛරසයක් නෙවෙයි එය එසේ වුවත්

ඒක නිතරම යාවත්කාලින (update) කරන අප කවුරුත් දන්නා ලංකාවේ නම කමින් හදන Shortcut virus එක ගැන නවතම තොරතුරු සොයාගත් සැනින් ඔබ වෙතට ගෙන එන්න මට හැකිවුනා පහත කරුණු හොඳින් බලන්න

පැතිරෙන අකාරය: Pen Drive මගින්

ඉහත රූපසටහනේ දක්වා ඇත්තේ වෛරසය ඇතුලත් වී ඇති මාගේ pen Drive එක වන අතර එහි පෙනෙන පරිදි attack කර ඇති ගොනුවේ ඇති file වල shortcut වලට අමතරව Drive ආකාරයේ bat file එකක් තිබෙනවා නේද 

අන්න ඒක තමයි වෛරස් කාරයාගේ උගුල 

මතක තියාගන්න ඒක Double  click කරන්න එපා

යම් හෙයකින් ඒක Double  click කලා නම් Pen එක ගහල තියෙන පරිගණකයට වෛරසය Infect  වෙලා ඉවරයි. බයවෙන්න එපා මම එ්ක remove කරන්න විදිහක් ඉක්මනට කියන්නම් දැනට වෛරසයේ ක්‍රියාකාරීත්වය පහතින් දක්වන්නම්

     

ඉහත රූපසටහන බලන විටදි Drive කියල hide වුනු folder එකේ තිබෙන මගේ file වලට අමතරව 416 යනුවෙන් සඳහන් වූ folder එකක් තිබෙනවා නේ ද

ඒක මගේ නෙවෙයි. 

කලින් දවසක මම මේ වෛරසය හොයාගත්ත මුල්ම දවසේ මගේ pen එකේ තිබුනෙ මේ අංකය 499 දැන් පෙන්වන්නේ 416

 

දන්නවද වෛරස් කාරයා තවත් හොල්මනක් දාලා දවසින් දවස විටින් විට මෙම folder එක වෙනස්කරන්න තරම් වෛරස් කාරයා දක්ෂවෙලා නේද

වෙන computer එකක මේක open කලහොත් ඒ folder එකේ තිබෙන file එක යම් හෙයකින් Double click කරල වෛරසය ක්‍රියාත්මක වුවහොත් එම පරිගණකයත් Infect වේ.

පෙනෙනවද මේ file එක Java script වලින් ලියපු එකක්   දැන් අපි බලමු Drive.bat එකේ තියෙන්නෙ මොනවද කියල

                                                     CD Drive

                                                     start wscript "416\mmfnh.js

                                                     exit

 

 දැක්කද wscript භාවිතා කරල 416 folder එකේ තිබෙන Java script file එක ක්‍රියාත්මක වෙන්න අණ දීල තියනවා 

මේ Post එක type කරන්න type කරන්න දිග වැඩිවෙනවා මම තව කෙටියෙන් හෙට විස්තර කරන්නම්