Rorschach е най-бързият криптиращ софтуер, виждан досега

При кибератака срещу американска компания изследователите на зловреден софтуер откриха нов щам на рансъмуер с „технически уникални характеристики“, който нарекоха Rorschach.

Сред наблюдаваните възможности е скоростта на криптиране, която според тестовете на изследователите би превърнала Rorschach в най-бързата заплаха от ransomware днес.

Анализаторите са установили, че хакерите са разположили зловредния софтуер в мрежата на жертвата, след като са използвали слабост в инструмент за откриване на заплахи и реагиране на инциденти.

Подробности за Rorschach

Изследователи от компанията за киберсигурност Check Point, които реагираха на инцидент в компания в САЩ, установиха, че Rorschach е бил внедрен с помощта на техниката за странично зареждане на DLL чрез подписан компонент в Cortex XDR, разширения продукт за откриване и реагиране на Palo Alto Networks.

Атакуващият е използвал Cortex XDR Dump Service Tool (cy.exe) версия 7.3.0.16740, за да зареди отстрани зареждащия и инжектиращия файл на Rorschach (winutils.dll), което е довело до стартиране на полезния товар на ransomware, „config.ini“, в процес на Notepad.

Файлът за зареждане се характеризира със защита срещу анализ в стил UPX, докато основният полезен товар е защитен срещу обратен инженеринг и откриване чрез виртуализиране на части от кода с помощта на софтуера VMProtect.

Check Point съобщава, че Rorschach създава групова политика, когато се изпълнява на Windows Domain Controller, която се разпространява на други хостове в домейна. След като компрометира машината, зловредният софтуер изтрива всички дневници за събития.

 

Въпреки че се предлага с твърдо зададена конфигурация, Rorschach поддържа аргументи от командния ред, които разширяват функционалността.

Check Point отбелязва, че опциите са скрити и до тях не може да се получи достъп без обратно инженерство на зловредния софтуер. По-долу са представени някои от аргументите, които изследователите са открили:

Процесът на криптиране

Rorschach ще започне да криптира данни само ако машината на жертвата е конфигурирана с език извън Общността на независимите държави (ОНД).

Схемата за криптиране съчетава алгоритмите curve25519 и eSTREAM шифър hc-128 и следва тенденцията на прекъсващо криптиране, което означава, че криптира файловете само частично, което му придава повишена скорост на обработка.

Изследователите отбелязват, че рутинната процедура за криптиране на Rorschach показва „високо ефективна реализация на планиране на нишки чрез портове за завършване на входно/изходни операции“.

„Освен това изглежда, че оптимизацията на компилатора е с приоритет за бързина, като голяма част от кода е инлайн. Всички тези фактори ни карат да смятаме, че може би си имаме работа с един от най-бързите рансъмуери.“ – пише Check Point

За да установи колко бързо е криптирането на Rorschach, Check Point създаде тест с 220 000 файла на машина с 6-ядрен процесор.

На Rorschach му бяха необходими 4,5 минути, за да криптира данните, докато LockBit v3.0, считан за най-бързия щам на ransomware, приключи за 7 минути.

След като блокира системата, зловредният софтуер пуска бележка за откуп, подобна на формата, използван от рансъмуера Yanlowang.

Според изследователите предишна версия на зловредния софтуер е използвала бележка за откуп, подобна на използваната от DarkSide.

Check Point казва, че тази прилика вероятно е накарала други изследователи да сбъркат различна версия на Rorschach с DarkSide – операция, която през 2021 г. се ребрандира на BlackMatter и изчезва същата година.

Членовете на BlackMatter alter създадоха операцията ALPHV/BlackCat ransomware, която стартира през ноември 2021 г.

Check Point оценява, че Rorschach е приложил по-добрите характеристики от някои от водещите щамове на рансъмуер, изтекли онлайн (Babuk, LockBit v2.0, DarkSide).

Заедно с възможностите за саморазпространение, зловредният софтуер „вдига летвата за атаки с цел откуп“.

Към момента операторите на рансъмуера Rorschach остават неизвестни и няма брандиране – нещо, което рядко се наблюдава на сцената на рансъмуера.

Снимки и инфографики: Check Point

Източник: По материали от Интернет

Подобни публикации

5 декември 2023

СМС измамите - как да се предпазим

Получавали ли сте някога нежелано текстово съобщение, което обещава...
4 декември 2023

Ирански хакери превземат контролери на водни съ...

Критичната инфраструктура в няколко американски щата може да е била...
4 декември 2023

Рансъмуерът е безмилостен: какво можете да напр...

Не само, че броят на рансъмуерите се увеличава, но този вид зловред...
3 декември 2023

Свалянето на Qakbot: Смекчаване на последиците ...

Министерството на правосъдието на САЩ и ФБР наскоро си сътрудничиха...
2 декември 2023

Владимир Дунаев е осъден за създаването на злов...

Министерството на правосъдието на САЩ обяви, че руски гражданин е п...
2 декември 2023

Клиентите на онлайн туристическата агенция Book...

Една от най-големите онлайн туристически агенции в света – Booking....
Бъдете социални
Още по темата
04/12/2023

Рансъмуерът е безмилостен: ...

Не само, че броят на рансъмуерите...
02/12/2023

Владимир Дунаев е осъден за...

Министерството на правосъдието на САЩ обяви,...
30/11/2023

Dollar Tree е жертва на нар...

Веригата дисконтови магазини Dollar Tree беше...
Последно добавени
05/12/2023

СМС измамите - как да се пр...

Получавали ли сте някога нежелано текстово...
04/12/2023

Ирански хакери превземат ко...

Критичната инфраструктура в няколко американски щата...
04/12/2023

Рансъмуерът е безмилостен: ...

Не само, че броят на рансъмуерите...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!