Odessa Daily Новости
Киберполиция проанилизировала загрузочную часть вируса-вымогателя
Odessa Daily
28 июня 2017 в 17:19Киберполиция проанализировала загрузочную часть вируса-вымогателя "Petya.A", и пришла к выводу, что это модифицированная версия ранее известного "трояна". Специалисты подробно рассказали о схожих участках кода.
![Киберполиция проанилизировала загрузочную часть вируса-вымогателя](http://odessadaily.s3.amazonaws.com/imgsc/493d4c5ff335a66d88d2ddc2cee257a2151bd182_b_1430c889f25b6d1dd9656a7be93e184347e68afb.jpg)
Об этом корреспонденту Украинской Службы Информации рассказали в Департаменте киберполиции НПУ.
При анализе вируса-вымогателя были выявлены похожие участки кода. Кроме того, используется тот же алгоритм шифрования - Salsa20 с модифицированным расширением ключа. В первой версии "Petya" - это "expand 32 - byte k", в новой версии "- 1invalid s3ct - id". Уникальный 8-ми байтовый номер для Salsa (nonce), хранится в секторе 32 (в старом - 55м). По смещению 0x21.
Первый байт 32-го сектора используется как флаг при загрузке - при 0 - происходит шифрование MFT, при 1 - вывод сообщения об оплате. Закриптованный MBR сохраняется в секторе 34. шифрования - xor с ключом 0x7.
Департамент киберполиции просит всех специалистов помочь разработать программы подбора паролей. Связаться можно через volunteer@cyberpolice.gov.ua.
Источник: usionline.com
Odessa Daily