La ransomware gang Hive ha convertito il suo crittografo VMware ESXi Linux al linguaggio di programmazione Rust e ha aggiunto nuove caratteristiche per rendere più difficile per i ricercatori di sicurezza spiare le negoziazioni dei riscatti delle vittime.
Poiché l’impresa diventa sempre più dipendente dalle macchine virtuali per risparmiare risorse informatiche, consolidare i server e per facilitare i backup, le bande di ransomware stanno creando encryptor dedicati che si concentrano su questi servizi.
I crittografi Linux delle bande di ransomware in genere prendono di mira le piattaforme di virtualizzazione VMware ESXI, in quanto sono le più comunemente utilizzate in azienda.
Mentre Hive ha utilizzato un encryptor Linux per colpire i server VMware ESXi per qualche tempo, un recente campione mostra che hanno aggiornato il loro encryptor con caratteristiche introdotte per la prima volta dall’operazione BlackCat/ALPHV ransomware.
Hive prende in prestito caratteristiche da BlackCat
Quando le operazioni ransomware attaccano una vittima, cercano di condurre le loro trattative in privato, dicendo alle vittime che se il riscatto non viene pagato i loro dati saranno pubblicati e subiranno un colpo alla reputazione.
Tuttavia, quando i campioni di ransomware vengono caricati su servizi pubblici di analisi del malware, vengono comunemente trovati dai ricercatori di sicurezza che possono estrarre la nota di riscatto e curiosare sulle negoziazioni.
In molti casi, queste trattative vengono poi pubblicizzate su Twitter e altrove, facendo fallire i negoziati.
La banda del ransomware BlackCat ha rimosso gli URL di negoziazione di Tor dal suo crittografo per evitare che questo accada. Invece, ha richiesto che l’URL sia passato come argomento della linea di comando quando il crittografo viene eseguito.
Questa caratteristica impedisce ai ricercatori che trovano il campione di recuperare l’URL in quanto non è incluso nell’eseguibile e solo passato all’eseguibile in fase di esecuzione.
Mentre l’Hive Ransomware richiede già un nome di login e una password per accedere alla pagina di negoziazione Tor di una vittima, queste credenziali sono state precedentemente memorizzate nell’eseguibile dell’encryptor, rendendole facili da recuperare come visto nell’attacco a Trenitalia.
In un nuovo encryptor Hive Linux trovato dal ricercatore di sicurezza Group-IB rivitna, Hive ora richiede all’attaccante di fornire il nome utente e la password di accesso come argomento della riga di comando quando si lancia il malware.
Copiando le tattiche di BlackCat, l’operazione di ransomware Hive ha reso impossibile recuperare le credenziali di login di negoziazione dai campioni di malware Linux, con le credenziali ora disponibili solo nelle note di riscatto create durante l’attacco.
Non è noto se i crittografi di Hive Windows utilizzano anche questo nuovo argomento della linea di comando in questo momento, ma se non è così, probabilmente lo vedremo aggiunto a breve.
