Geçtiğimiz haftalarda, kullanıcıların ve kurumların oldukça başını ağrıtan Cryptolocker zararlı yazılımı üzerinde çalışırken, işletim sistemine Cryptolocker zararlı yazılımının bulaştığını tespit edip, işlemi (process) durduran Cryptokiller adında bir araç hazırladım.
Windows 7 Enterprise SP1 (x86)’de test ettiğim bu aracı 5 farklı Cryptolocker zararlı yazılımı üzerinde test ettikten sonra yeni bir salgın başlamadan önce herkesin kullanımına sunma kararı aldım.
İlerleyen zamanlarda bu aracı kaynak kodu ile birlikte burada yayınlayacağım. Bu sayede aracı ihtiyaçlarınıza göre iyileştirme/geliştirme imkanınız olacaktır.
Aracın Kısıtları:
Aracı “hidden” parametresi ile çalıştırdığınız taktirde (cryptokiller.exe hidden) GUI olmadan çalışabilmekte ve gerçekleştirdiği işlemlerlerle ilgili bilgileri C:\Cryptokiller klasörü altına kayıt etmektedir.
Araç ile ilgili gelişmelerden haberdar olmak için https://www.hack4career.com/cryptokiller adresini ziyaret edebilirsiniz.
Uyarı: Crytokiller, POC olarak geliştirdiğim bir araçtır bu nedenle hataları/eksikleri olabilir. Aracı prototip olarak düşünmeli ve bunu göz önünde bulundurarak kullanmanızı öneririm.
İndir (Windows 7 Enterprise SP1 x86’da test edilmiştir.)
Güncelleme (19.11.2015): Cryptokiller aracının kaynak kodu yayınlanmıştır.
—————————————————————————————————————————————————–
While I was working on a Cryptolocker malware that targeted Turkish users, I decided to create a POC tool called Cryptokiller (tested on Windows 7 Enterprise SP1 x86) which is able to detect and stop the infection and also kills the infected process. I tested it on 5 different Cryptolocker malwares.
I will share the source code of Cryptokiller soon so you will be able to modify it for your needs.
Limitations:
You can run Cryptokiller without GUI by running it with “hidden” parameter. (cryptokiller.exe hidden). You will find the log file inside C:\Cryptokiller folder.
Warning: Cryptokiller is POC tool. It may have bugs/issues so keep in mind.
Download (Tested on Windows 7 Enterprise SP1 x86)
Update (19.11.2015): Source code of Cryptokiller tool released.
——————————————————————————————————————————————————-
25 comments
64bit için çıkartmayı düşünüyor musunuz?
Hayır. Dileyen istediği şekilde geliştirsin diye kaynak kodunu paylaşmıştım.
Açıkçası kaynak koda bakıp görene kadar, yorumların ve uygulamanızın rahatlatıcı bir çözüm olduğunu düşünmüştüm ama söyler misiniz mirim ya bu zararlıyı geliştiren arkadaşlar cryptolocker proccesin ismini random yapmayi tercih ederler veya yine well-known bir başka bir process ismi ile execute ederlerse ne olacak?
Siz hiç imza veritabanı, tarama motoru güncellenmeyen antivirüs yazılımı gördünüz mü ? Görmediniz :) Neden görmediniz çünkü zararlı yazılımlar zaman içinde yöntem değiştirebiliyorlar bu nedenle bu yazılımların da yeni tehditlere ve yöntemlere göre güncellenmeleri gerekiyor dolayısıyla Cryptokiller aracını da bunun gibi düşünebilirsiniz.
Zaten Cryptokiller’ın açık kaynak kodlu olmasının sebebi de bu gibi yöntem değişikliklerinde kaynak kodunu buna göre güncelleyebilmenize imkan tanımaktır. Uzantıyı değiştirirlerse farklı yöntem izlersiniz, farklı bir programa kendisini enjekte ederse yine farklı bir yöntem izlersiniz kısacası bunu kedi fare oyunu gibi düşünebilirsiniz.
Yazım hataları için kusura bakmayın hareketliydim az
Cryptolocker sistem üzerinden temizleniyor ama dosyalara bulaştığında çözüm yok uzantıları yeni çıkan Cryptolocker .vvv olarak değiştiriyor ve kesin olarak çözümüde yok 1 hafta nerede ise 16 17 saat uğraştım öenmli bilgiler için yedek imaj farklı şekilde saklanan dosyaları mp3 hariç hepsini bozmuştu ve kurtarma yolu sadece fidye ödemek fbı dahi sitesinde bu yeni versiyon için bildiri yayınladı Cryptolocker bulaştı ise yapıcak en güzel şey format ve daha derine işlemesi ile farmattan sonra dahi geri dönüp sistemde görüldüğü söylendi son 1 haftanın bilgileri bu şekilde bu Cryptolocker versiyonu devlet tabanlı tüm yerlerde görülmeye başlanmış ttnet altyapısı turkcell falan bir çok noktadan ortaya çıkıyor Cryptolocker son zamanlarda hala araştırıyorum sosyal ağ üzerinde facebook olmaması gereken şekilde resimler içine yerleştirilmiş versiyonu tespit edilmiş dahası var yeni Cryptolocker çok riskli ve zorlu olacak gibi
Şu projeyi inceleme fırsatınız oldu mu Mert hocam:
https://github.com/utkusen/hidden-tear/
Olmadı, ilginçmiş :)
Oldukça Başarılı Bir Çalışma Olmuş Kardeşim. Ellerin\’e Sağlık. Ülkemiz\’den Başarılı Bilişimciler Çıkmasının Vakti Geldi Ve Geçiyor! Çok Dua Aldığın\’dan Adım Kadar Emiğinim:) Başarılarının Devamını Dilerim…
Teşekkürler.
One step further…. Congrad…
Oper soruce olarak yayınlarsan yardım ederiz!
Teşekkürler, yakında yayınlayacağım!
Abi emeğine sağlık. Görüldüğü üzere gayet güzel çalışıyor.
\”virustotal\” gibi online sistemde denemelerin yapılabileceği bir platform sanki daha bi güzel olur.
İyi Çalışmalar
Kolay Gelsin
Salgının ilk 5 saatinde Virustotal’da tespit eden AV sayısı genelde 0 oluyor.
Guzel yazi olmus.
Inglizce olarak da yazdigin icin ayrica tesekkurler. Artik yabanci arkadaslara yazilarini direk iletebiliriz :)
Rica ederim :)
tesekkurler
Mert Abi,
Öncelikle emeğine sağlık, gerçekten faydalı bir paylaşım olacağına eminim. Programın her kullanıcı tarafından kullanılabilir esnekliği açısından bir önerim olacaktı..
Her kullanıcıda Python yüklü olmayabilir bu yüzden programı Python Setup\’ı ile packleyip (bu yüzden Cryptokiller programı .exe olabilir) kullanıcı programı çalıştırdığında ilk olarak Python\’un OS\’da yüklü olup olmadığını kontrol edip duruma göre arkaplanda veya arayüzde yükledikten sonra Cryptokiller\’i Regedit\’ten sistem açılışına ekletirsek ve arkaplanda çalıştırıp monitör moda geçmesini sağlarsak herşey otomatize olmuş olacaktır. Böylece kullanım esnekliği hayli artacaktır diye düşünüyorum.
Umarım anlatabilmişimdir :)
Görüşmek üzere, iyi çalışmalar.
Teşekkürler önerin için @İsmail.
Ben de benzer şekilde bir paket hazırlamayı planlıyorum. Python olmasa da zaten pyinstaller ile paketi oluşturacağım için Python yüklü olmayan sistemlerde de çalışacaktır.
Teşekkürler ilginizden dolayı :)
Mert hocam 4 gözle bekliyoruz :) çevrenin hatta piyasanın beklediği bir ürün, HackTrick seminerinizde zaten duyurmuştunuz bitti testleri kaldı sadece diye. Ayrıca hocam bu virüs durdurmanın ardından eğer sisteme bulaştı ise nasıl çözülebilir ile alakalı bilgi de verebilirseniz çok memnun oluruz.
Tekrardan teşekkürler :)
Sisteme bulaştıysa ve tüm veriler şifrelendiyse elle tutulur tek çözüm sistemin yedekleri alınıyorsa yedekten geri dönmek olacaktır.
Buna ilave olarak veri kurtarma yöntemleri de izlenebilir ancak ne kadar başarılı olur tecrübe etmedim.
Teşekkürler Mert Bey.
Rica ederim :)