Ransomware Analysis: র্যানসমওয়্যারের এনক্রিপশন পদ্ধতি বিশ্লেষণ এবং ডিক্রিপশন টুলের সম্ভাবনা!
র্যানসমওয়্যারের ক্রিপ্টোগ্রাফিক ইমপ্লিমেন্টেশন বিশ্লেষণ এবং ফাইল ফেরত পাওয়ার সম্ভাব্য কৌশল নিয়ে গভীর আলোচনা।
আধুনিক সাইবার অপরাধের জগতে র্যানসমওয়্যার একটি বহুবিলিয়ন ডলারের শিল্পে পরিণত হয়েছে। Conti, LockBit, BlackCat (ALPHV), Royal, Akira—এই নামগুলো শুধু ম্যালওয়্যার ফ্যামিলি নয়, এগুলো এক একটি সংগঠিত অপরাধী ব্যবসা যাদের নিজস্ব affiliate program, customer support এবং leak site রয়েছে। তবে এই সমস্ত র্যানসমওয়্যারের কেন্দ্রে রয়েছে একটি প্রযুক্তিগত উপাদান—ক্রিপ্টোগ্রাফি। যে মুহূর্তে একটি র্যানসমওয়্যার ভিকটিমের ফাইল এনক্রিপ্ট করে, তার গাণিতিক ভিত্তির উপর নির্ভর করে ভিকটিম তার ডেটা ফেরত পাবেন কিনা—মুক্তিপণ ছাড়াই। ম্যালওয়্যার অ্যানালিস্টদের প্রধান লক্ষ্যই হলো এই ক্রিপ্টোগ্রাফিক ইমপ্লিমেন্টেশনের ত্রুটি খুঁজে বের করা এবং সম্ভব হলে free decryption tool তৈরি করা। No More Ransom প্রজেক্ট গত কয়েক বছরে শত শত ভিকটিমকে এভাবেই সাহায্য করেছে।
র্যানসমওয়্যারের ক্রিপ্টোগ্রাফিক আর্কিটেকচার
আধুনিক র্যানসমওয়্যার প্রায় সর্বদা হাইব্রিড এনক্রিপশন স্কিম ব্যবহার করে। প্রতিটি ফাইলের জন্য একটি র্যান্ডম সিমেট্রিক কী (সাধারণত AES-256 বা ChaCha20) জেনারেট হয়। এই সিমেট্রিক কী দিয়ে ফাইল কনটেন্ট এনক্রিপ্ট করা হয়, তারপর সেই কী একটি অ্যাসিমেট্রিক পাবলিক কী (RSA-2048, RSA-4096, বা Curve25519) দিয়ে এনক্রিপ্ট করে এনক্রিপ্টেড ফাইলের header বা footer-এ যুক্ত করা হয়। অ্যাসিমেট্রিক প্রাইভেট কী attacker-এর সার্ভারে সংরক্ষিত থাকে। এই ডিজাইন থিওরিটিক্যালি অভেদ্য—যদি সঠিকভাবে বাস্তবায়িত হয়।
তবে বাস্তবে অনেক র্যানসমওয়্যার ডেভেলপার ক্রিপ্টোগ্রাফিক ভুল করেন। কখনো তারা weak PRNG (Pseudo-Random Number Generator) ব্যবহার করেন যেমন C-এর rand() বা সিস্টেম টিকের উপর ভিত্তি করে seed। কখনো একই AES কী একাধিক ফাইলে পুনরায় ব্যবহার করেন। কখনো ECB মোড ব্যবহার করেন যা প্যাটার্ন প্রকাশ করে। এই ত্রুটিগুলোই বিশ্লেষকদের জন্য সুযোগ তৈরি করে।
Static এবং Dynamic Analysis-এর পদ্ধতি
একটি র্যানসমওয়্যার নমুনা বিশ্লেষণ শুরু হয় static analysis দিয়ে। প্রথমে IDA Pro, Ghidra বা Binary Ninja-তে নমুনাটি লোড করা হয়। Imports টেবিল পরীক্ষা করে দেখা যায় কোন ক্রিপ্টোগ্রাফিক API কল করা হচ্ছে—যেমন Windows-এ CryptAcquireContext, CryptGenKey, CryptEncrypt, বা BCrypt API। যদি কোনো third-party library যেমন Crypto++, mbedTLS বা OpenSSL স্ট্যাটিকালি লিংক করা থাকে, তাহলে FLIRT signatures বা YARA rules দিয়ে সেগুলো শনাক্ত করা যায়।
স্ট্রিং অ্যানালাইসিস অত্যন্ত গুরুত্বপূর্ণ। অনেক সময় ডেভেলপাররা debug strings, error messages, বা even cryptographic constants বাইনারিতে রেখে যান। AES-এর S-box, SHA-256-এর initial hash values, বা elliptic curve parameters খুঁজে দেখা হয়। Findcrypt, signsrch বা YARA rules দিয়ে এই constants সহজে শনাক্ত করা যায়।
Dynamic analysis-এ একটি isolated sandbox-এ ম্যালওয়্যার চালানো হয়। API Monitor, x64dbg, এবং custom hooking framework ব্যবহার করে প্রতিটি ক্রিপ্টোগ্রাফিক কলের প্যারামিটার ক্যাপচার করা হয়। বিশেষ করে CryptGenRandom-এর output, key derivation function-এর ইনপুট, এবং অ্যাসিমেট্রিক এনক্রিপশনের পাবলিক কী—এই সব তথ্য সংগ্রহ করা হয়। Memory dump থেকে কখনো কখনো প্রাইভেট কী বা প্লেইনটেক্সট কী রিকভার করা সম্ভব, বিশেষত যদি ম্যালওয়্যার এনক্রিপশনের পরপরই মেমোরি ক্লিয়ার না করে।
বিখ্যাত ক্রিপ্টোগ্রাফিক ত্রুটি
ইতিহাসে অনেক র্যানসমওয়্যার ফ্যামিলির ক্রিপ্টোগ্রাফিক ত্রুটি free decryptor তৈরির সুযোগ দিয়েছে। CryptoDefense (২০১৪) Windows CryptoAPI ব্যবহার করে কী জেনারেট করত, কিন্তু সেই কী লোকাল মেশিনে %APPDATA%\Microsoft\Crypto\RSA ফোল্ডারে সংরক্ষিত থেকে যেত। ভিকটিম শুধু সেই ফাইল কপি করেই ডিক্রিপ্ট করতে পারতেন।
Petya-এর প্রথম ভার্সনে (২০১৬) Salsa20 স্ট্রিম সাইফার ব্যবহার করা হয়েছিল, কিন্তু কী জেনারেশনে দুর্বলতা ছিল। গবেষক leostone একটি genetic algorithm-ভিত্তিক টুল প্রকাশ করেন যা মাত্র সাত সেকেন্ডে কী রিকভার করতে পারত।
TeslaCrypt 3.0 elliptic curve ব্যবহার করত, কিন্তু প্রাইভেট কী লোকাল ফাইলে এনক্রিপ্ট না হয়েই সংরক্ষিত হতো। Cisco Talos এবং Kaspersky-র গবেষকরা TeslaDecoder তৈরি করেন। মজার বিষয়, ২০১৬ সালে TeslaCrypt-এর ডেভেলপাররা মাস্টার ডিক্রিপশন কী পাবলিকলি প্রকাশ করে অপারেশন বন্ধ করেন।
STOP/Djvu (Globe Imposter ফ্যামিলির অংশ) একটি বিশাল ভিকটিম গ্রুপ তৈরি করেছিল। এর offline variant একটি hardcoded কী ব্যবহার করত যখন C2 সার্ভারের সাথে সংযোগ পেত না। Michael Gillespie একটি universal decryptor তৈরি করেন যা offline ID ভিকটিমদের সাহায্য করেছে।
Maze ransomware ChaCha20 ব্যবহার করত, কিন্তু একটি specific build-এ initialization vector reuse-এর সমস্যা ছিল যা cryptanalysis-এর সুযোগ তৈরি করেছিল।
Cryptanalysis Techniques
র্যানসমওয়্যার বিশ্লেষণে বিভিন্ন cryptanalytic পদ্ধতি প্রয়োগ করা হয়। Known-plaintext attack সবচেয়ে সাধারণ—যদি ভিকটিমের কাছে এনক্রিপ্ট হওয়া ফাইলের আগের কপি থাকে (যেমন একটি ছোট test file বা standard system file), তাহলে সেই plaintext-ciphertext জোড়া ব্যবহার করে কী রিকভারির চেষ্টা করা যায়। স্ট্রিম সাইফারে এটি বিশেষভাবে কার্যকর কারণ XOR অপারেশন reversible।
Cipher reuse attack—যদি একই keystream একাধিক ফাইলে ব্যবহৃত হয়, তাহলে XOR করে keystream নিষ্ক্রিয় করা সম্ভব। অনেক amateur র্যানসমওয়্যার এই ভুল করে।
PRNG state recovery—যদি কী জেনারেশন predictable seed ব্যবহার করে (যেমন GetTickCount() বা time(NULL)), তাহলে সম্ভাব্য seed-এর একটি limited range ব্যবহার করে brute-force সম্ভব। Cerber-এর কিছু ভার্সনে এই দুর্বলতা পাওয়া গিয়েছিল।
Side-channel analysis—কিছু ক্ষেত্রে এনক্রিপশনের সময় পেজিং ফাইল, hibernation file, বা swap file-এ অস্থায়ী কী লিক হতে পারে। DFIR বিশ্লেষকরা ভিকটিমের সিস্টেম থেকে এই ধরনের artifact সংগ্রহ করেন।
Modern Ransomware এর Resilience
আধুনিক র্যানসমওয়্যার যেমন LockBit 3.0, BlackCat, Royal—এরা পূর্বসূরিদের ভুল থেকে শিখেছে। এরা Windows BCrypt API ব্যবহার করে cryptographically secure random number জেনারেট করে। কী derivation-এ HKDF বা PBKDF2 ব্যবহার করে। ফাইল-প্রতি unique IV এবং authenticated encryption mode (যেমন AES-GCM বা ChaCha20-Poly1305) ব্যবহার করে। অ্যাসিমেট্রিক অংশে Curve25519 ব্যবহার করে যা কোয়ান্টাম-পূর্ব যুগে কার্যত অভেদ্য।
LockBit আরো intermittent encryption ব্যবহার করে—পুরো ফাইল না, শুধু নির্দিষ্ট বাইট রেঞ্জ এনক্রিপ্ট করে যা পরিবর্তনকে দ্রুততর করে এবং ফাইলকে অব্যবহারযোগ্য করে তোলে কিন্তু forensic recovery কঠিন করে। BlackCat Rust-এ লেখা যা reverse engineering আরো জটিল করে তোলে।
এই ক্ষেত্রে decryption সম্ভাবনা ক্ষীণ। পরিবর্তে গবেষকরা মনোযোগ দেন infrastructure takedown-এ। FBI-এর Operation Cronos অপারেশন LockBit-এর infrastructure-এ ঢুকে decryption keys উদ্ধার করেছিল, যার মাধ্যমে কয়েকশো ভিকটিমকে ফাইল ফেরত পাওয়ানো হয়েছে।
Decryption Tool ডেভেলপমেন্ট
একটি সফল cryptanalysis-এর পর free decryptor তৈরি করতে হয়। এই প্রক্রিয়ায় ম্যালওয়্যারের file format রিভার্স ইঞ্জিনিয়ার করতে হয়—header magic bytes, IV offset, encrypted key location, এবং file extension pattern। তারপর Python বা C++-এ একটি টুল লেখা হয় যা:
১. ফাইল scan করে র্যানসমওয়্যার ভ্যারিয়ান্ট শনাক্ত করে ২. ব্যবহারকারী থেকে পরিচিত ফাইল জোড়া (encrypted + original) গ্রহণ করে ৩. cryptanalytic algorithm প্রয়োগ করে কী রিকভার করে ৪. কী validate করে এবং বাকি ফাইল ডিক্রিপ্ট করে
Emsisoft, Bitdefender, Avast এবং Kaspersky নিয়মিত এই ধরনের free decryptor প্রকাশ করে No More Ransom পোর্টালের মাধ্যমে।
প্রতিরোধ ও প্রতিকার
র্যানসমওয়্যার বিশ্লেষণ একটি reactive পদ্ধতি—সবচেয়ে ভালো সুরক্ষা প্রতিরোধমূলক। নিয়মিত অফলাইন এবং immutable backup (3-2-1 rule) অনুসরণ করা সবচেয়ে কার্যকর প্রতিরক্ষা। Application whitelisting, EDR সলিউশন (CrowdStrike, SentinelOne, Microsoft Defender for Endpoint) যা ransomware behavior শনাক্ত করে, এবং network segmentation যা lateral movement সীমিত করে—এই সব স্তর প্রয়োজন।
Volume Shadow Copy Service (VSS) এবং Windows Backup-এর প্রতি র্যানসমওয়্যারের আক্রমণ ঠেকাতে Controlled Folder Access এবং tamper protection সক্রিয় রাখতে হবে। Active Directory-তে privileged account ব্যবহার minimize করা এবং MFA বাধ্যতামূলক করা গুরুত্বপূর্ণ। Email filtering, web filtering এবং কর্মচারীদের নিয়মিত phishing awareness training—এগুলো প্রাথমিক infection vector বন্ধ করতে সাহায্য করে।
যদি আক্রমণ ঘটে যায়, তাহলে মুক্তিপণ পরিশোধ থেকে বিরত থাকা উচিত। FBI এবং অন্যান্য সাইবার সংস্থা সাধারণত মুক্তিপণ পরিশোধে নিরুৎসাহিত করে—কারণ এটি অপরাধী ইকোসিস্টেমকে অর্থায়ন করে এবং ভবিষ্যৎ আক্রমণের সম্ভাবনা বাড়ায়। প্রথম পদক্ষেপ হলো প্রভাবিত সিস্টেম isolation, তারপর encrypted sample ID Ransomware-এ আপলোড করে variant identification, এবং No More Ransom-এ free decryptor খোঁজা।
র্যানসমওয়্যার অ্যানালাইসিস একটি জটিল ক্ষেত্র যা ক্রিপ্টোগ্রাফি, রিভার্স ইঞ্জিনিয়ারিং এবং ম্যালওয়্যার অ্যানালাইসিসের গভীর জ্ঞান দাবি করে। যদিও আধুনিক র্যানসমওয়্যার ফ্যামিলিগুলো ক্রিপ্টোগ্রাফিকভাবে শক্তিশালী হয়ে উঠেছে, ইমপ্লিমেন্টেশন ভুল এবং operational mistakes এখনো গবেষকদের জন্য সুযোগ তৈরি করে। প্রতিটি free decryptor হাজার হাজার ভিকটিমকে আর্থিক ক্ষতি এবং মানসিক চাপ থেকে রক্ষা করতে পারে। তবে প্রতিরোধই সর্বোত্তম প্রতিকার—একটি শক্তিশালী backup strategy এবং multi-layered defense ছাড়া কোনো প্রতিষ্ঠান আজকের threat landscape-এ নিরাপদ নয়।
আপনার জ্ঞান যাচাই করতে প্রস্তুত? আজই HackCert-এ Ransomware Analysis MCQ Quiz-টি দিন!
Related articles
Botnet Analysis: How Malware-Infected Devices Forge Devastating Cyber Armies
8 min
Cryptanalysis: Techniques for Analyzing and Breaking Modern Cryptographic Algorithms
10 min
DLL Hijacking Explained: Executing Malware via Legitimate Software Processes
12 min
Fault Injection: Breaking Hardware Encryption via Voltage Manipulation
12 min