DJVU

باج‌گیر افزارهای خانواده DJVU یا STOP داده‌های کاربران را با الگوریتم AES-556 (حالت CFB) رمزگذاری می‌کنند. بااین‌وجود، کل فایل را رمزگذاری نکرده، بلکه در ابتدا تقریباً ۵ مگابایت از آن را رمز می‌کند. متعاقباً، برای بازگرداندن فایل‌ها باجی به مبلغ ۹۸۰ دلار (معادل بیت کوین) را درخواست می‌کنند.

نویسندگان این باج‌گیر افزار ریشه روسی دارند. این کلاه‌بردارها از زبان روسی و کلمات روسی نوشته‌شده به زبان انگلیسی و دامنه‌های ثبت‌شده از طریق شرکت‌های ثبت دامنه روسی استفاده می‌کنند. کلاه‌برداران به‌احتمال‌زیاد در کشورهای دیگر نیز متحد دارند.

مشخصات فنی DJVU یا STOP

بسیاری از کاربران گزارش دادند که پس از بارگیری و نصب برنامه‌های محبوب آلوده‌شده، فعال‌کننده‌های ویندوز و آفیس مانند KMSAuto Net ،KMSPico و غیره که توسط کلاه‌برداران از طریق وب‌سایت‌های معروف توزیع ‌شده‌اند، آلوده‌ شده‌اند. این موضوع مربوط به برنامه‌های رایگان قانونی و نرم‌افزارهای غیرقانونی فعال‌سازی است.

رمزنگاری ممکن است با استفاده از پیکربندی RDP که به‌طور ضعیف محافظت‌شده، از طریق پست‌های الکترونیک اسپم و پیوست‌های موذی، بارگیری‌های اشتباه، بهره‌بردارها، تزریق کننده‌های وب(۱)، به‌روزرسانی‌های معیوب، نصب مجدد(۲) و فایل‌های نصب آلوده پخش شوند.

لیست موضوعی پسوندهای فایل‌هایی که توسط این باج‌گیر افزارها رمزگذاری می‌شوند، در اینجا آورده شده است:

  • فایل‌های OpenOffice یا MS Office
  • فایل‌های PDF و متنی
  • پایگاه‌های داده‌
  • عکس‌ها
  • فایل‌های موسیقی، تصویری یا ویدیویی
  • بایگانی‌ها
  • فایل‌های برنامه و غیره

باج‌گیر افزار‌های STOP/DJVU یادداشت‌های باج‌خواهی (شکل زیر) خود را در یک فایل text به نام‌‌هایی که در زیر آمده است روی سیستم شما قرار می‌دهد:

!!!YourDataRestore!!!.txt, !!!RestoreProcess!!!.txt, !!!INFO_RESTORE!!!.txt, !!RESTORE!!!.txt, !!!!RESTORE_FILES!!!.txt, !!!DATA_RESTORE!!!.txt, !!!RESTORE_DATA!!!.txt, !!!KEYPASS_DECRYPTION_INFO!!!.txt, !!!WHY_MY_FILES_NOT_OPEN!!!.txt, !!!SAVE_FILES_INFO!!!.txt, !readme.txt

.djvu * و انواع جدیدتر: _openme.txt ، _open_.txt یا _readme.txt

همچنین نوع djvu از این باج‌گیر افزار یا انواع جدید این باج‌گیر افزار از نام‌هایی که در زیر آورده شده‌اند برای نام‌گذاری فایل text حاوی یادداشت باج‌خواهی استفاده می‌کنند:

_openme.txt, _open_.txt, _readme.txt

مراحل آلودگی توسط رمزنگاری:

  1. پس از راه‌اندازی، رمزنگار قابل‌اجرا(۳) به یک سرور فرمان و کنترل(۴) متصل می‌شود. درنتیجه، کلید رمزنگاری و شناسه آلودگی را برای رایانه قربانی به دست می‌آورد. داده‌ها تحت پروتکل HTTP به شکل JSON منتقل می‌شوند.
  2. اگر С&C در دسترس نباشد (در مواقعی که رایانه به اینترنت متصل نشده باشد و سرور پاسخ ندهد)، رمزنگار کلید رمزگذاری شده را که به‌طور مستقیم در کد آن پنهان شده است اعمال می‌کند و رمزنگاری مستقل را انجام می‌دهد. در این حالت، رمزگشایی پرونده‌ها بدون پرداخت باج امکان‌پذیر است.
  3. این رمزگذار از exe برای جایگزینی پرونده قانونی ویندوز و همچنین برای پیاده‌سازی حمله به شبکه رایانه استفاده می‌کند.
  4. پس از رمزگذاری موفقیت‌آمیز فایل‌ها، رمزگذار به‌صورت مستقل و با استفاده از فایل فرمانbat حذف می‌شود.

فایل‌های مرتبط:

C:\Users\Admin\AppData\Local\3371e4e8-b5a0-4921-b87b-efb4e27b9c66\build3.exe
C:\Users\Admin\AppData\Local\Temp\C1D2.dll
C:\Users\Admin\AppData\Local\Temp\19B7.exe
C:\Users\Admin\AppData\Local\Temp\2560.exe
“Tasks: “Azure-Update-Task
Registry: HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\SysHelper

ورودی‌های مرتبط با رجیستری:

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\SysHelper

ترافیک شبکه:

clsomos.com.br
o36fafs3sn6xou.com
rgyui.top
starvestitibo.org
pelegisr.com
furubujjul.net
api.2ip.ua
morgem.ru
winnlinne.com

تشخیص توسط آنتی‌ویروس‌ها:

باج‌گیر افزار‌های STOP/DJVU توسط نام‌هایی که در زیر آمده است توسط آنتی‌ویروس‌ها تشخیص داده می‌شوند:

همچنین Crackithub.com ،kmspico10.com ،crackhomes.com ،piratepc.net برخی از سایت‌های توزیع باج‌گیرافزار STOP هستند. هر برنامه‌ای که از آنجا بارگیری شود می‌تواند به این باج‌افزار آلوده باشد!

علاوه بر رمزگذاری فایل‌های قربانی، خانواده DJVU همچنین Azyult Spyware را برای سرقت اطلاعات حساب‌های کاربری، کیف پول‌های ارزهای دیجیتال، فایل‌های دسکتاپ و موارد دیگر نصب می‌کنند.

چگونه می‌توان فایل‌های DJVU یا STOP رمزگشایی کرد؟

باجگیر افزارهای خانواده‌ی DJVU  یا STOP اساساً دارای دو نسخه هستند.

  1. نسخه قدیمی: رمزگشایی بیشتر پسوندهای قدیمی (از “.djvu” تا “.carote (v154)” برای بیشتر این نسخه ها قبلاً توسط ابزار STOPDecrypter پشتیبانی می شد، درصورتی که فایل‌ها را با یک کلید آفلاین آلوده شده باشند. همین پشتیبانی در رمزگشای جدید Emsisoft برای این نسخه های قدیمی Djvu گنجانده شده است. رمزگشایی فقط در صورت داشتن کلید آفلاین، فایل‌های شما را بدون ارسال جفت فایل رمزگشایی می کند.
  2. نسخه جدید: جدیدترین پسوندها در اواخر آگوست ۲۰۱۹ پس از تغییر این باجگیر افزار منتشر شدند. این پسوندها شامل .coharos ، .shariz ، .gero ، .hese ، .xoza ، .seto ، peta ، .moka ، .meds ، .kvag ، .domm ، .karl ، .nesa ، .boot و غیره هستند. این نسخه های جدید فقط با Emsisoft Decryptor پشتیبانی می شوند.

“جفت فایل” چیست؟
این نوع از فایل‌ها در حقیقت یکسان هستند (همان‌طور که داده‌های موحود در آن‌ها دقیق مشابه است)، به جز یک  داده که در یک فایل رمزگذاری شده است و در فایل دیگر نه.

کلیدهای آنلاین و آفلاین به چه معناست؟
کلید آفلاین نشان می دهد که فایل‌ها در حالت آفلاین رمزگذاری شده‌اند. پس از کشف شدن این کلید، به ابزار رمزگشایی اضافه می شود و می توان توسط آن فایل‌ها را رمزگشایی کرد.

کلید آنلاین توسط سرور باجگیر افزار تولید شده است. این بدان معنی است که سرور باجگیر افزار مجموعه‌ای تصادفی از کلیدها را برای رمزگذاری فایل‌ها ایجاد کرده است. رمزگشایی چنین فایل‌هایی به هیچ وجه امکان پذیر نیست.

رمزگذاری با الگوریتم RSA که در جدیدترین نسخه های DJVU استفاده شده است، اجازه نمی‌دهد از یک جفت فایل “رمزگذاری شده + اصلی” برای آموزش سرویس رمزگشایی استفاده کنید. این نوع رمزگذاری امن در برابر crack کردن مقاوم است و رمزگشایی فایل‌ها بدون داشتن کلید خصوصی غیرممکن است. حتی یک ابر رایانه برای محاسبه چنین کلیدی به ۱۰۰٫۰۰۰ سال زمان نیاز دارد.

چگونه کلید آفلاین یا آنلاین را شناسایی کنیم؟
فایل SystemID/PersonalID.txt ایجاد شده توسط STOP (DJVU) در درایو C شما شامل تمام شناسه‌های استفاده شده در فرآیند رمزگذاری است.

تقریباً هر شناسه آفلاین با “t1” خاتمه می یابد. رمزگذاری توسط یک کلید آفلاین با مشاهده شناسه شخصی در یادداشت _readme.txt و فایل C:\SystemID\PersonalID.txt قابل تأیید است.

سریع‌ترین راه برای بررسی اینکه آیا به کلید OFFLINE یا ONLINE آلوده شده اید دنبال کردن مراحل سه گانه‌ی زیر است:

  1. فایل PesonalID.txt واقع در پوشه C:\SystemID را بر روی دستگاه آلوده پیدا کرده و بررسی کنید که دارای یک شناسه است و یا اینکه چندین شناسه وجود دارد.
  2. اگر شناسه‌ای با “t1” به پایان برسد، این احتمال وجود دارد که برخی از فایل‌های شما توسط کلید آفلاین رمزگذاری شده و قابل بازیابی باشند.
  3. اگر هیچ یک از شناسه‌های ذکر شده با “t1” ختم نشود، به احتمال زیاد همه فایل‌های شما با کلید آنلاین رمزگذاری شده اند و در حال حاضر قابل بازیابی نیستند.

لیست کامل پسوندهایی که با استفاده از باج‌گیر افزارهای خانواده DJVU رمز می‌شوند در اینجا آورده شده است (به روز رسانی شده در سپتامبر ۲۰۲۱):

۱) گروه STOP

STOP, SUSPENDED, WAITING, PAUSA, CONTACTUS, DATASTOP, STOPDATA, KEYPASS, WHY, SAVEfiles, DATAWAIT, INFOWAIT

۲) گروه Puma

puma, pumax, pumas, shadow

۳) گروه Djvu

djvuu, uudjvu, blower, tfudet, promok, djvut, djvur, klope, charcl, doples, luces, luceq, chech, proden, drume, tronas, trosak, grovas, grovat, roland, refols, raldug, etols, guvara, browec, norvas, moresa, verasto, hrosas, kiratos, todarius, hofos, roldat, dutan, sarut, fedasot, forasom, berost, fordan, codnat, codnat1, bufas, dotmap, radman, ferosas, rectot, skymap, mogera, rezuc, stone, redmat, lanset, davda, poret, pidon, heroset, myskle, boston, muslat, gerosan, vesad, horon, neras, truke, dalle, lotep, nusar, litar, besub, cezor, lokas, godes, budak, vusad, herad, berosuce, gehad, gusau, madek, tocue, darus, lapoi, todar, dodoc, novasof, bopador, ntuseg, ndarod, access, format, nelasod, mogranos, nvetud, cosakos, kovasoh, lotej, prandel, zatrov, masok, brusaf, londec, kropun, krusop, mtogas, nasoh, coharos, nacro, pedro, nuksus, vesrato, cetori, masodas, stare, carote, shariz

۴) گروه Gero یا RSA

gero, hese, xoza, seto, peta, moka, meds, kvag, domn, karl, nesa, boot, noos, kuub, mike, reco, bora, leto, nols, werd, coot, derp, nakw, meka, toec, mosk, lokf, peet, grod, mbed, kodg, zobm, rote, msop, hets, righ, gesd, merl, mkos, nbes, piny, redl, kodc, nosu, reha, topi, npsg, btos, repp, alka, bboo, rooe, mmnn, ooss, mool, nppp, rezm, lokd, foop, remk, npsk, opqz, mado, jope, mpaj, lalo, lezp, qewe, mpal, sqpc, mzlq, koti, covm, pezi, zipe, nlah, kkll, zwer, nypd, usam, tabe, vawe, moba, pykw, zida, maas, repl, kuus, erif, kook, nile, oonn, vari, ,boop, geno, kasp, ogdo, npph, kolz, nypg, copa, lyli, moss, foqe, mmpa, efji, iiss, jdyi, vpsh, agho, vvoa, epor, sglh, lisp, weui, nobu, ,igdm, booa, igal, omfl, atek, qlkm, coos, wbxd, pola, plam, cosd, ygkz, cadq, ribd, tirp, reig, ekvf, enfp, ytbn, fdcz, urnb, lmas, wrui, rejg, pcqq, igvm, nusm, ehiz, paas, pahd, mppq, qscx, sspq, iqll, ddsg, piiq, neer, miis, leex, lssr, pooe, zqqw, zzla, wwka, gujd, ufwj, moqs, , hhqa, aeur, guer, nooa, muuq, reqg, hoop, orkf, iwan, lqqw, efdc, wiot, koom, rigd, kodc, nord, yqal, moia, robm, rigj, pqga, iisa, futm, mak, qdla, stax, irfk, palq, cool, rivd, rugj, zaps, maql, vtua, irjg, nqsq, tisc, pqgs, luez, wnlu, hgsh, mljx, utjg, qmak, yber, maak, fhkf, vggj, zaqi, nqhd, vgkf, dehd, loov, miia, sbpg, nnqp, hudf, shgv, yjqs, qqqw, yoqs, qqqe, bbbw, maiv, bbbe, bbbr, qqqr, avyu, cuag,iips, ccps, qnty, ckae, eucy, gcyi, ooii, rtgf, jjtt, fgui, fgnh, vgui, sdjm, dike, xgpr, iiof, ooif, vyia, qbaa, fopa, dfwe, errz, ifla, byya, kruu, sijr, bbnm, egfg, xcvf, mine, hhjk, ttii, mmob, jhgn, jhbg, dewd, jhdd, dmay, msjd, nuhb, ygvb, dwqs, qpss, hajd, qall, ghas, uyjh, tuid, udla, gtys, mpag, voom, kxde, wdlo, pphg, rguy, ssoi, kkia, hfgd, mmuz, rguy, uigd, eyrv, vlff, bpqd, xcbg, kqgq, vtym, nnuz, qlln, fefg, hruu, fdcv, zpps, zfdv, uihj, ewdf, rrbb, rrcc, rryy, bnrs, eefg, bbyy, bbzz, bbii, eegf, zdfv, efvc, hkgt, eijy, lloo, lltt, llee, llqq, eiur, dkrf, ghsd, jjyy, jjww, hhew, hhwq, hheo, ggew, ggwq, ggeo, oori, ooxa, hhyu, vveo, vvwq, vvew, vvyu, ccyu, ccew, cceo, ccza, qqmt, qqlo, qqlc, qqri, qqjj, qqpp, qqkk, oovb, oodt, oopu, mmpu, mmvb, mmdt, eebn, eewt, eemv, eeyu, aayu, aabn, aamv, aawt, ofoq, oflg, ofww, adww, adlg, tohj, towz, powz, pohj, tuis, tury, tuow, nury, nuis, nuow, powd, pozq, bowd, bozq, zatp, zate, fatp, fate, tcvp, tcbu, kcvp, kcbu, uyro, uyit, mppn, mbtf, manw, maos, matu, btnw, btos, bttu, isal, iswr, isza, znsm, znws, znto, bpsm, bpws, bpto, zoqw, zouu, poqw, pouu, mzqw, mztu, mzop, assm, erqw, erop, vvmm, vvoo, hhmm, hhee, hhoo, iowd, ioqa, iotr, qowd, qoqa, qotr, gosw, goaq, goba, coaq, cosw, coba, qarj, qazx, qapo, craa, dapo, darj, dazx, tycx, tywd, tyos, typo, jyos, jywd, jypo, niwm, nitz, nifr, jycx, kiwm, kifr, kiop, boza, boty, coza, saba, qopz, qore, gash, gatz, xash, xatz, xaro, gapo, gaze, sato, foza, foty, fofd, coty, kitz, gatq, gapo, vaze, vatq, vapo, werz, weqp, weon, nerz, neqp, neon, ahtw, ahgr, ahui, bhtw, bhgr, bhui, tghz, tgpo, tgvv, aghz, agpo, agvv, wayn, wazp, rzfu, rzml, rzkd, ooza, oopl, wwza, wwty, wwpl, wwhu, azhi, azqt, azop, mzqt, mzhi, mzre, ithh, itrz, itqw, pthh, ptrz, ptqw, mlrd, mlap, mlza, mlwq, ttrd, ttza, zpww, zpas, zput, ppvs, ppvt, ppvw, yzaq, yzoo, yzqe, jzeq, jzie, jzqe, eqza, eqew, iicc, gycc, gyew, gyza, nbwr, nbzi, jawr, jazi, gycc, gyza, hhaz, hhuy, ljuy, ljaz, wisz, wiaw isak, cdaz, cdwe, cdpo, cdtt, cdxx, cdcc, cdvv, ldhy, lhdy, lkhy, lkfr, wisz, wiaw, nood, kool, looy, vook, uasj, uazq, kaaa

همچنین در اینجا لیستی از پست‌های الکترونیک استفاده شده توسط مجرمان سایبری و قرار داده شده در یادداشت‌های باج‌خواهی این خانواده از باجگیر افزارها آورده شده است:

  • gorentos@bitmessage.ch;
  • gorentos2@firewall.cc;
  • helpshadow@india.com;
  • restoredjvu@firemail.cc;
  • pdfhelp@india.com;
  • salesrestoresoftware@firemail.cc;
  • salesrestoresoftware@gmail.com;
  • restorefiles@firemail.cc;
  • datarestorehelp@firemail.cc;
  • datahelp@iran.ir;
  • helpmanager@firemail.cc;
  • helpmanager@iran.ir;
  • restoredjvu@india.com;
  • helpdatarestore@firemail.cc;
  • helpmanager@mail.ch;
  • restoreadmin@firemail.cc (first noticed in ZIPE variant);
  • restoremanager@airmail.cc (first noticed in MOBA variant);
  • helpteam@mail.ch (first noticed in YGKZ variant);
  • helpmanager@airmail.cc;
  • managerhelper@airmail.cc (first noticed in MOQS variant);
  • manager@mailtemp.ch (first noticed in SSPQ variant);
  • supporthelp@airmail.cc (first noticed in TISC variant);
  • helprestoremanager@airmail.cc (spotted in IRFK variant);
  • support@sysmail.ch (spotted in NQHD variant);
  • supportsys@airmail.cc (spotted in FOPA variant);
  • manager@time2mail.ch (spotted in MSJD variant);
  • admin@helpdata.top (spotted in FDCV variant);
  • support@bestyourmail.ch (spotted in RRBB variant).
  • gerentoshelp@firemail.cc
  • gerentosrestore@firemail.cc
  • amundas@firemail.cc

لیست آخرین باج‌گیر افزارهای خانواده DJVU:

منابع

[۱] https://howtofix.guide/about-djvu-stop-ransomware

[۲] https://geeksadvice.com/decrypt-files-locked-by-stop-djvu-ransomware-virus

[۳] https://geeksadvice.com/remove-djvu-ransomware-virus

[۴] https://gridinsoft.com/ransomware/djvu

(۱) web injectors
(2) repackaged
(3) cryptoware executable
(4) Command and Control server (С&C)