新しいホワイトラビットランサムウェアがFIN8APTへの所属を示しています

野生で発見された新しいランサムウェアファミリーがあります. ホワイトラビットと呼ばれる, ランサムウェアは、12月に米国の銀行に対するサイレント攻撃でトレンドマイクロの研究者によって注目されました 2021. 脅威はからのページを使用しているようです 有名なEgregorランサムウェア, その悪意のある活動を隠すために. 研究者は、ホワイトラビットがFIN8APTに所属していると信じています (Advanced Persistent Threat) グループ.

関連記事: LazarusAPTハッカーが暗号通貨で4億ドルを盗んだ

新しいホワイトラビットランサムウェアの興味深い点?

「WhiteRabbitの攻撃の最も注目すべき側面の1つは、ペイロードバイナリが内部構成を復号化し、ランサムウェアルーチンを続行するために特定のコマンドラインパスワードを必要とする方法です。,トレンドマイクロはレポートで述べています.

この手法は、ベンダー分析から悪意のある活動を隠すためにEgregorオペレーターによって使用されています. 一目見ただけで, ホワイトラビットのファイルは注目されていません, 約の小さなサイズで 100 KBで、注目すべき文字列やアクティビティはありません. その悪意のある性格を与えるのは、ロギング用の文字列の存在です. でも, ランサムウェアの本質的な動作は、正しいパスワードがないと簡単に観察できません。.

トレンドマイクロの内部テレメトリは、 CobaltStrikeマルウェア システムに侵入し、暗号化ペイロードをドロップするために使用された可能性のあるコマンド. WhiteRabbit攻撃に関連する悪意のあるURLがFIN8に関連しているという証拠もあります, 有名なAPTプレーヤー.

Lodestoneの研究者は、ランサムウェアがBadhatchと呼ばれるこれまで知られていなかったバックドアを使用していることにも気づきました。, FIN8にも関連付けられています. でも, 研究者は、分析を実行するためにそのURLに関連するファイルを取得できませんでした.

そのルーチンの観点から, ホワイトラビットは、典型的なランサムウェアのように機能します. また、盗んだデータを販売または公開するように標的を脅迫することにより、二重の恐喝を実行します.

WhiteRabbitRansomwareの暗号化についてはどうですか?

暗号化されたファイルごと, ランサムウェアは別のメモを作成します. 各メモには暗号化されたファイルの名前があります, 次の拡張子が追加されます – .scrypt.txt.

「ランサムウェアルーチンの前, マルウェアはまた、いくつかのプロセスとサービスを終了させます, 特にウイルス対策関連のもの,」トレンドマイクロは.

結論は, 研究者たちは、ランサムウェアはまだ開発中であると信じています. 「この初期段階にあるにもかかわらず, でも, それが現代のランサムウェアの厄介な特徴を持っていることを強調することが重要です: です, 結局, 高度にターゲットを絞っており、二重の恐喝方法を使用しています. そのような, 監視する価値があります,」 レポートによると.