Действащ от май миналата година, нов щам на рансъмуер, наречен Rhysida, е използван заедно с нов зловреден софтуер за кражба, наречен Lumar, за нов мощен удар срещу популярните бразилски потребители на платежната система PIX.

Изследователи от Kaspersky съобщиха, че Rhysida функционира като операция „ransomware-as-a-service“ (RaaS) с доказана способност за бързо развитие.

„Той се отличава с уникалния си механизъм за самоизтриване и съвместимост с версиите преди Windows 10 на Microsoft. Написана на C++ и компилирана с MinGW и споделени библиотеки, Rhysida демонстрира сложност в дизайна си“, казва Kaspersky в заключенията си за групата. „Макар и сравнително нова, Rhysida се сблъска с първоначални предизвикателства при конфигурирането на своя onion сървър, което разкрива бързата адаптация и кривата на обучение на групата.“

Кампанията за получаване на откуп, насочена към PIX, продължава от декември 2022 г., отбеляза екипът на Kaspersky, като добави, че Rhysida е била разгърната заедно с безплатен инфостайлър от типа „зловреден софтуер като услуга“ (MaaS), наречен Lumar, за да се насочи към потребителите на платежната система.

Lumar се появява за първи път през юли 2023 г., се добавя в доклада, и може да краде данни за сесиите на Telegram, пароли, бисквитки, информация за автоматично попълване, файлове на работния плот и дори криптографски портфейли.

Забележително е, че екипът на Kaspersky заяви, че крадецът Lumar е компактен, без да жертва функционалността си.

„Ефективното събиране на данни от зловредния софтуер се улеснява от използването на три отделни нишки“, се добавя в доклада. „С2“, хоствана от автора на зловредния софтуер като услуга „зловреден софтуер като услуга“ (MaaS), предоставя удобни за потребителя функции като статистика и регистри на данните. Потребителите могат да изтеглят най-новата версия на Lumar и да получават известия от Telegram за входящи данни“.