Сбор цифровых отпечатков. Memory forensics.

Memory Forensics Cheat Sheet v1.2

[Cerber Ransomware] Схема работы / Партнерка

Как монетизируют загрузки:

Схема шифрования:
--------------------------------------------------
После запуска на компьютере пользователя генерируются локальные ключи RSA 576 бит (приватный и публичный).
В дальнейшем эти ключи будут использоваться для шифрования и расшифровки файлов.

Предварительно в релиз зашит глобальный публичный ключ RSA 2048 бит.
Данный ключ используется для шифрования локального приватного ключа RSA 576 бит.

Глобальный приватный ключ RSA 2048 бит находится на .Onion сервере в анонимной сети Tor.

После шифрования локального приватного ключа RSA 576 бит генерируется список файлов для шифрования.
Данный список содержит файлы определенных расширений, список сортируется по времени модификации и важности файлов.

Начинается шифрование файлов.

Каждый файл шифруется с помощью алгоритма RC4 с длиной ключа 128 бит.
Для каждого файла генерируется случайный ключ, который шифруется с помощью локального публичного ключа RSA 576 бит.
Также с помощью локального публичного ключа RSA 576 бит шифруется заголовок исходного файла, что значительно затрудняет расшифровку файлов без дешифратора (месяцы на расшифровку 1-ого файла).

Шифруется не только содержимое файлов, но и их имена.
Меняется время создания и время модификации файлов.

После шифрования всех файлов пользователю показывается инструкция по расшифровке.

Для расшифровки файлов пользователю необходимо скачать "Tor Browser", зайти на специальный .Onion сайт (лэндинг) и следовать инструкциям на этом сайте.

Лэндинг
--------------------------------------------------