Novo ransomware baseado em REvil

Novo ransomware baseado em REvil. Um ator de ameaça parece ter redirecionado o ransomware REvil para criar sua própria família de ransomware e, possivelmente, lançar uma oferta de ransomware como serviço (RaaS).

Também conhecido como Sodinokibi, REvil se tornou uma das famílias de ransomware mais proeminentes lá fora, estando envolvido em um grande número de ataques de alto perfil, incluindo aquele contra a JBS , uma das maiores empresa de processamento de carne do mundo.

REvil é oferecido por um ator de ameaças baseado na Europa Oriental / Rússia rastreado como PINCHY SPIDER, que é conhecido por seu negócio RaaS que anteriormente envolvia o ransomware GandCrab, que foi aposentado em junho de 2019, dois meses após o surgimento de REvil .

Pesquisadores da Secureworks® Contador Threat Unit ™ (CTU) investigaram relatórios e observaram que o ransomware LV tem a mesma estrutura de código como Revil . Essa sobreposição pode indicar que o grupo de ameaças cibercriminosas GOLD SOUTHFIELD que opera REvil vendeu o código-fonte, que o código-fonte foi roubado ou que GOLD SOUTHFIELD compartilhou o código com outro grupo de ameaças como parte de uma parceria. A análise CTU ™ confirmou que o grupo de ameaças GOLD NORTHFIELD , que opera LV, substituiu a configuração de uma versão beta do REvil v2.03 para redirecionar o binário REvil para o ransomware LV.

Os pesquisadores da CTU não observaram anúncios de ransomware LV em fóruns clandestinos até esta publicação. No entanto, variações nos IDs de parceiro e campanha nas configurações de LV e a prática de nomear e envergonhar as vítimas podem indicar que o GOLD NORTHFIELD está lançando uma oferta de ransomware-as-a-service (RaaS).

“A análise [Secureworks Counter Threat Unit] confirmou que o grupo de ameaças GOLD NORTHFIELD, que opera o LV, substituiu a configuração de uma versão beta do REvil v2.03 para redirecionar o binário REvil para o ransomware LV”, dizem os pesquisadores.

Além disso, eles observam que o ransomware LV ainda não foi anunciado em fóruns clandestinos, mas as mudanças nos IDs de parceiro e de campanha, bem como “a prática de nomear e envergonhar as vítimas” sugere que o ator da ameaça está preparando seu próprio RaaS oferecendo que envolve LV.

A análise do ransomware LV revelou estrutura de código idêntica e funcionalidade em comparação com REvil, enquanto as mudanças observadas sugerem o uso de um editor hexadecimal para remover certas características do binário. O adversário também substituiu a configuração REvil pela sua própria. O ator da ameaça também teve que contornar os controles anti-adulteração do REvil.

“Se feito corretamente, o binário será executado com sucesso usando a configuração atualizada do LV. Os arquivos no sistema da vítima serão criptografados com chaves de sessão protegidas pela chave pública do LV e as vítimas serão direcionadas ao site de pagamento do resgate do LV por meio da nota de resgate atualizada ”, diz Secureworks.

Ao visitar o site de pagamento, é solicitada à vítima a chave da nota de resgate. Até o momento, os pesquisadores identificaram três domínios Tor especificados nas notas de resgate do LV, mas as tentativas de inserir as chaves necessárias resultaram em erros de HTTP.

Os pesquisadores também descobriram dois sites de vazamento associados ao ransomware LV e descobriram que o ator da ameaça nomeia e envergonha as vítimas, provavelmente em uma tentativa de coagi-las a pagar o resgate. O adversário também publica capturas de tela de arquivos roubados nos sites de vazamento e ameaça tornar as informações roubadas públicas, a menos que a vítima faça contato dentro de 72 horas.

No entanto, de acordo com a Secureworks, o ator da ameaça ainda não publicou nenhuma informação confidencial roubada de suas vítimas.

Conclusão

A análise da CTU revelou que o ransomware LV não é uma família distinta de ransomware; é um ransomware REvil reaproveitado. Ao modificar o binário de uma família prolífica de ransomware, os atores da ameaça GOLD NORTHFIELD aceleraram significativamente sua maturidade dentro do ecossistema de ransomware. Sem gastar recursos no desenvolvimento de ransomware, o grupo pode operar com mais eficiência do que seus concorrentes, ao mesmo tempo em que oferece a melhor oferta de ransomware da categoria, resultando em um modelo de negócios mais lucrativo. A manipulação não autorizada do REvil pelo GOLD NORTHFIELD provavelmente fará com que o GOLD SOUTHFIELD implemente controles anti-violação adicionais e modifique o armazenamento e processamento da configuração para impedir futuras tentativas de sobrescrever a configuração do REvil.

É muito cedo na evolução do GOLD NORTHFIELD para avaliar a ameaça que ele representa. A capacidade de redirecionar o binário REvil sugere que os atores da ameaça têm capacidades técnicas. Além disso, a complexidade necessária para esse reaproveitamento e as variações de configuração nas amostras de LV sugerem que GOLD NORTHFIELD pode ter automatizado o processo. Embora um RaaS para o ransomware LV pudesse fornecer competição direta para a oferta RaaS do GOLD SOUTHFIELD, a falta de uma infraestrutura confiável e organizada necessária para operar uma oferta RaaS bem-sucedida sugere que o GOLD NORTHFIELD tem que expandir suas capacidades e recursos para competir com outras operações de ransomware.

Indicadores de ameaça

Os indicadores de ameaças na Tabela 2 podem ser usados ​​para detectar atividades relacionadas ao ransomware LV. Os domínios podem conter conteúdo malicioso, portanto, considere os riscos antes de abri-los em um navegador.

Indicadores para esta ameaça.

Fonte: SecurityWeek & SecureWorks