පෙට්යා රැන්සම්වෙයාර් වෛරසයක් නොව‍ෙයි විදෙස් මාධ්‍ය පවසයි

http://thehackernews.com/2017/06/petya-ransomware-wiper-malware.html

https://www.theverge.com/2017/6/28/15888632/petya-goldeneye-ransomware-cyberattack-ukraine-russia

Petya Ransomware Virus (පෙට්යා රැන්සම්වෙයාර් වෛරසය)

මෙම භයානක වෛරසය අද දිනයේ රටවල් 170 වකට පමණ attack කර ඇති බවට එක් එක් විදෙස් වාර්ථා තුලින් මට අහන්න ලැබුනා මින් කලින් එවන ලද වන්නක්‍රයි වලට වඩා බලපෑමක් කරනු ඇතිබව අහන්න ලැබුනා ඔබ ඔබේ පරිගනකයේ පහත රූප සටහනේ පරිදි තිරයේ දැක්වුනොත් වහාම පරිගණකය සම්බන්ධ කර ඇති power cable එක ගලවා දමන්න ඉන් පසු Live Cd  එකක් මගින් On වී දත්ත වෙනත් External hard Disk එකකට ගබඩා කරගන්න

මෙහි දන්වා ඇති විස්ථරය අනුව ඔබ ක්‍රියා කළොත් පහත පරිදි ඔබේ පරිගණකය වෛරසයේ ගොදුරක් වනු නොඅනුමානයි 

හෙට වෙනත් තොරතුරු දක්වා ලිපියක් දාන්නම්

Shortcut Virus 

2017-06-06 දින සටහන් තබමි

පහත සඳහන් ස්ථානයේ ජාවා Script එකක් මගින් Create වන වෛරස ෆයිල් (exe) extension සහිත වුවත් එවන් ෆයිල් පරිගණකය off කර On කරන සෑම වේලාවකදීම වෙනත් නමකින් ෆයිල් එකක් create වන නිසා ඒ ඒ exe ෆයිල් සඳහා MD5 සහ SHA values ගැනීමේ තේරුමක් නැතිබව මගේ හැඟිමයි. 

C:\Users\Hajitha\AppData\Roaming\nqeian

යම් වෛරස් නිරෝධායන ආයතනයකට මෙය create වීම සිදුවන java script ෆයිල් එකට යම් පිළියමක් කළහැකිනම් මා සිතන්නේ එය වඩාත් කාලෝචිත වන බවයි.  

Shortcut ටික කාලයකට ඉහත දී attack කරන ලද වෛරසයට තවම E-set වලින් ප්‍රතිකර්මයක් නොමැති බව කනගාටුවෙන් දැනුම් දෙන්නේ මෙය තවමත් අප ආයතනය විස්වාස කරනු ලබන හෙයිනි.

 මේ වන විට මෙම shortcut වෛරසය තවදුරටත් වැඩිදියුණු කර ඇති බව නිරීක්ෂණය වේ. මෙම වෛරසය මගින් ඕනෑම USB External data storage එකක් තත්පර කිහිපයකින් Shortcut බවට හරවන අතර එම දත්ත පෙර පරිදි Drive නැමති folder එකකට දමා එය linux ක්‍රමයට බෙහෙවින් සමාන ක්‍රමයක් උපයොගි කර ගනිමින් hide කර එම Drive නැමති folder එකට සමාන තවත් folder එකක් සාදා user ගේ දත්ත ගොනු කිහිපයක් එයට දමා User නොමඟ යවන අතර වෛරසය එවන Creator සිතා සිටින්නේ අප කොන්ඩෙ බැඳපු චීන්නු කියා නම් ඔහුට වැරදී අති බව මෙයින් දන්වනු කැමැත්තෙමි.   

2017-06-22 දින නැවත සටහන් තබමි

මෙම අළුත් වෛරසය පිළිබඳ මා අද දින වන විට කරනා ලද අධ්‍යයනයේ දී හඳුනා ගන්නා ලද කරුණු පහත පරිදි ඔබට ඉදිරිපත් කරන්නම්

1.       Usb Pen එකේ හෝ External Hard Disk එකේ සියළු දත්ත ඉතා සුළු මොහොතකින් සැඟවී නොපෙනී යයි

2.       වෙනදා මෙන් attrib විධානය ලබා දුන්නත් දත්ත වලින් කොටසක් පමනක් Drive folder එකට දමා අනෙකුත් සියළු දත්ත මෙම විශේෂ ක්‍රමය යටතේ සඟවා ඇති බව නිරික්ෂණය වේ.(Super Hide)

3.       Recovery Tools වලින් Active data recovery සහ Disk genius වැනි advance recovery ක්‍රම තුලින් මෙම දත්ත Recover කළහැකි වුවත් මෙවැනි ක්‍රම වලට වඩා හොඳ ක්‍රමයක් Linux භාවිතා කරමින් කළ හැකි බව මගේ යාළුවෙක් මට කිව්ව

මගේ යාළුවා කිව් ක්‍රමය මම ඔබලාට පසුව step by step පෙන්වා දෙන්නම්

 වෛරසය ක්‍රියාත්මක වූ පසු Add වන Modify වන Values සහ add වන Keys පෙන්වන රූප සටහන මගින් ඔබට පෙන්වන්නම්

ඉහත රූපසටහන අනුව Keys 5 ක් සහ අමුතුවෙන් register එකට එකතු වූ Values added ප්‍රමාණය 18 ලෙසද වෙනස් කරන ලද Values ප්‍රමාණය 9 ක් ලෙසද ඉහත රූපසටහන අනුව ඔබට වටහාගත හැකිවේ.

මෙහිදී රූපසටහනේ නිල් පැහැයෙන් දක්වා ඇති විශේෂයෙන් වෛරසය infected PC එකේ  register user values ඒකකි ඒහිදී show super hidden values ඒකට විශේෂ Value එකක් add කරන ආකාරය

මින් පසුව අපේ පරිගණකය තුල අපට තිබෙන attrib action එක ගිලිහි යනවා

මෙවැනි වෛරස attack කරන ලද පරිගණක වලට සම්බන්ධ කරන ලද සියළු අමතර storage's or External Hard disk වල දත්ත සියල්ලම wannacry වෛරසයේ ක්‍රියාකාරීත්වය පෙන්වන ආකාරයටම hide කරන බව නිරීක්ෂණය කෙරේ මෙවැනි වෛරසයක් attack කර ඔබට යම් ගැටළුවක් වී ඇත්නම් නව disk digger Tool එක භාවිතා කර එවැනි දත්ත Recover කරගත හැකි බවද මින් ඉහත attack කරන ලද වෛරසය සඳහා Avg Free virus Guard  එක මගින් පිළියමක් ලබාගත හැකි බවද නිරීක්ෂණය අනුව වටහා ගන්න ලැබුනා

තව දුරටත් මෙම වෛරසය නිර්මාණකරු ශ්‍රිලාංකිකයකු වන බැවින් ඔහුට මින් ඉහත දී ලියන ලද skypee ලෙසින් සඳහන් කරන ලද මොහුගේ මූල් ම Shortcut වෛරසය සඳහා වෛරසය යොදා අලෙවි කරන Botnet Virus එකක් වන Andromeda සඳහා යොදාගෙන ඇති බව දක්නා ලදී. 

   

තවදුරටත් මෙම වෛරසය පිළිබඳ විස්තර පසුවට දන්වන්නම්

අද දිනයේ තවත් රැන්සම්වෙයාර් වෛරසයක් නිකුත්වී ඇත එහි ක්‍රියා කාරීත්වය දෙවන සටහනේ දී දක්වන්නම්

රැන්සම්වෙයාර් (කප්පම්) වෛරසය (WannaCry or WannaCrypt)

රැන්සම්වෙයාර් වෛරස ලෙඩේ ගැන ඔයාලට නවතම තතු කියන්නයි 

මේ මම හදන්නේ 

කාලෙන් කාලෙට අලුත් වෙමින් විවිධාකාර වෙනස් කම් වලින් පිරි මෙම වෛරසය අද වනවිට  ඔයාලගේ පරිගණකයට එන්නේ තවත් දරුණු ආකාරයෙන්

මේ රැන්සම්වෙයාර් වෛරස වලින් කිහිපයක පැරණි ඒවා( උදාහරණ cryptowall, CERBER, SHI....) ආදිනව විඳින්න වුනු අය ලංකාවෙත් හිටියා ඒ අය මගෙන් මේ වෛරසයෙන් ඒ අයගෙ දත්ත නැවත Recover කර ගැනීමට මගෙන් උදවු ඉල්ලා තිබූ වෙලාවේ මම මගේ උපරීම දක්ෂතාවය පාවිච්චි කරල ඒ එක් අයෙකුගේ දත්ත හැරෙන්නට සියළු අයගේ දත්ත මම සියයට 95 ක්ම බේර ගත්ත ඒ අය මේ ගැන සාක්ෂි දරනවා ඇති.

මේ වොන්නක්‍රයි (Wannacry)  නැතිනම් වොන්නක්‍රිපට් වෛරසයේ විශේෂත්වය වන්නේ මෙය attack කරන ආකාරයයි ඒ ගැන මට තවමත්  අනිත් පරිගණක විද්වතුන් ගේ දත්ත තමයි මම මේ POST එකේ ද‍ාන්න බලාපොරොන්තු වන්නේ 

(මොකද මේ වගේ වෛරස attack කළ පරිගණකයක් මම තවම දැකල නැහැ ඒත්....  මෙවැනි වෛරස මම නිරාකරණය කිරීමේදී මා මෙතෙක් ලද අත්දැකීම් අනුව මා අනුමාන කරන දේ වීමට බොහොදුරට ඉඩතියනවා)

වෛරසය ගැන විද්වතුන් කියන ආකාරයට අන්තර්ජාලයට නිරාවරණය කර ඇති windows මෙහෙයුම් පද්ධති අඩංගු මෑතදී යාවත්කාලීන නොකරන ලද (Update) සියළු පරිගණක මෙම වෛරසයට ගොදුරු වීමට ඉඩතියන බව ඔවුන් කියනවා

මම දන්නවා අපේ අයට බොහොම ලොකු ප්‍රශ්ණයක් තියන‍වා කියල Update කිරීම සම්බන්ධයෙන්

 බයවෙන්න එපා 

මේ වෛරසය ලොකෙන් නිට්ටාවටම ඉවත් කර දාන්න Microsoft සමාගම මුදල් පිළිබඳ අදහස ඉවත්කර ඉක්මන් ප්‍රතිකර්මයක් ලෙස ලින්ක් කිහිපයක් මගින් මෙතෙක් Updates නොලියන්න තීරණය කරන ලද සියළුම Windows Operation System වලට Security Patch ගණනාවක් ලියා ඇත.  වහාම ක්‍රියාත්මක වන්න

           Windows xp sp3 සඳහා සහ

Windows vista ( සියළු සංසෝධනයන්)

            Windows Server 2008( සියළු සංසෝධනයන්)

Windows Server 2008 R2( සියළු සංසෝධනයන්)

            Windows 7 SP1   ( සියළු සංසෝධනයන්)

            Windows 8.1 ( සියළු සංසෝධනයන්)

            Windows RT 8.1 ( සියළු සංසෝධනයන්)

            Windows server 2012  සහ  windows server 2012 R2

            Windows 10  ( සියළු සංසෝධනයන්)

           Windows 2016 ( සියළු සංසෝධනයන්)

මෙම ලින්ක් මගින් ඔබේ පරිගණක ඉක්මණින් Updates කරගන්න

http://www.catalog.update.microsoft.com/Search.aspx?q=KB4012598

මේ පිලිබඳව ලංකාවේ පරිගණක හදිසි ප්‍රතිචාර සංසදයේ උපදෙස් සඳහා පහත ලින්ක් එකෙන් දැනගැනීමටත්

http://www.slcert.gov.lk/alert_info.php?id=119

මේ පිලිබඳව ලංකාවේ අර්ධරාජ්‍ය පරිගණක හදිසි ප්‍රතිචාර සංසදයේ මොරටු සරසවියේ  උපදෙස් සඳහා පහත ලින්ක් එකෙන් දැනගැනීමටත් ඔබට පුළුවන්

https://www.techcert.lk/en/alerts-news/275-ransomware-worm-attack-wannacry

මීට අමතරව වෛරසයේ විස්තර සහ වෛරසය ඉවත් කිරීම සඳහා හොඳම වෛරස මෘදුකාංග වර්ග කිහිපයක් අද දිනයේ නිකුත් වී තිබෙනවා  මේ අතරින්

Windows Defender

Kaspersky

BitDefender

ESET-NOD32

AVG

AVIRA(NO CLOUDE)

F-SECURE

යනාදී වශයෙන්......

තවදුරටත් මෙම වෛරසය analyze කර ඇති ආකාරය ඔබට පහත ලින්ක් එක තුලින් බලා ගත හැකියි

https://www.microsoft.com/security/portal/threat/encyclopedia/Entry.aspx?Name=Ransom:Win32/WannaCrypt

මීට අමතරව මේ පහත වීඩියෝ එක පිළිබඳ යම් ඉඟියක් කවර හෝ ආකාරයෙන් ඔබට ලැබුනේ ද එය open කරන්න එපා  

         

Dance of the Hillary (ඩාන්ස ඔෆ් ද හිලරි) නමින් Video එකක් අද හෝ හෙට ඔබේ ජංගම දුරකථනයට ඒවී එය බැලීමට හෝ oPEN කරන්න එපා මෙය ඉතා භයංකාර වෛරසයක් බව BBC ආයතනය අනතුරු හඟවා ඇත.

වෛරසය පිළිබඳ යම් කරුණක් මා ලතොත් මා ඔබට post එකක් දාන්නම්

මම මේ හුඟක් කාලෙකින් වෛරසය ගැන ලියන්න හිතුවත් ලියාගන්න බැරිවුනේ මගේ java දැනුම ගැන තිබුන ප්‍රශ්නයක් නිසා එත් මම මේ shortcut වෛරස් කරයාට තවදුරටත් ඉඩදීම හොඳ නැති නිසා මෙම වෛරසය ලෝකයේ සියළු දෙනාම බේරගන්න හිතාගෙන මම අවසාන පියවරට පය තිබ්බා

මම වෛරසයක දෝෂය හඳුනාගත් පසු මට හැකිනම් ඒ සඳහා සුළු පිළියම් ලබා දුන්නත් මුළු ලෝකයම Update කරන්න මට බැහැ ඒ නිසා මම කරන්නේ Virus Total site එකට මම සොයගන්න වෛරසය upload කරනවා 


පහත රෑ සටහන් තුලින් දක්වතත් මම තවදුරටත් ඔයගොල්ලන්ගේ පහසුව පිණිස වෙන වෙනම වෛරස් ගාඩ් දමා ඒවා update කර මෙම වෛරසය ඇතුලත් කර Scan report එකක් මගින් වෙන වෙනම වෛරස ගාඩ් වලින් මෙම වෛරසය ඇත්තටම Clean කරනවද හරියට බලලා ඔබට කියන්නම්

වෛරස් එක upload කරපු ගමන් වෛරස ගාඩ් බොහ‍ොමයක්ම මෙම වෛරසය අද දිනයෙම හඳුනා ගත් බවත් ඒවා ඊයේ දිනයේ හෝ අද දිනයේ සොයාගෙන ඇති බවත් සහ ඒවායේ වෛරස නාමයන් ද ඔවුන් විසින් දක්වා ඇත

මීට අමතරව virus total site එක මගින්   අමතර තොරතුරු අනුව පහත රූප සටහන බලන්න මෙහිදී 2016-10-26 කවුරුහරි මෙම වෛරසය upload කර ඇති බව වුවත් මේ දක්වාම මෙම වෛරසය සඳහා

 

එවකට වෛරස් ගාඩ් සමාගම් විසින් ගන්නා ලදයි සඳහන් විසඳුම් නිවැරදී වී කිබුනේ නම් මීට ඉහත දී මා පළකරන ලද Post එක බොරුවක් ලෙස කෙනෙකුට අර්ථකථනය කළහැකියයි තර්කයක් ගෙන එන්න පුළුවන් නේද?

Virus Total site එකද මෙහිදී වංචාවක් කරන්න අනුබල දීමක් කරනවා යැයි මාහට පහත දත්ත අනුව පෙන්වා දිය හැකියි.  රූප සටහන බලන්න

 ඉහත දක්වන ලද රූප සටහන වෙන් වෙන් වශයෙන් දැම්මොත් ඉඩ යන නිසා එක පිංතූරයක් විදිහට පහලින් දැක්වෙන රූපසටහනේ ටිකක් පැහැදිලිව පේන්න දැම්මා බලන්න තරු ලකුණින් හයිලයිට් කළේ දැනට භාවිතා කරන ප්‍රධාන වෛරස් ගාඩ් සමාගම් සහ Upload කළ සැනින් Update ලෙස දක්වා ක්ෂණිකව නම් යෙදූ දිනයක් පසුපසට හෝ අද දිනයේම සොයාගත් බවට දැක්වෙන වෛරස නාමයන් 

මම දන්න විදිහට මේ Update වලින් පාරිභොගිකයා අද දිනට මුලා කලත් හෙට සහ මේ ඉදිරි සතිය තුලදී පාරිභෝගික ඔබට සහ අපිට මෙම වෛරසය ඔබ දාලා තියන වෛරස් ගාඩ් වලින් Clean වේවි. සති දෙකකින් පස්සෙ නැවත ලියන්නම්.