Chaos: Nieuwe ransomware in ontwikkeling

Er is een nieuw ontwikkelde malware op de radar van beveiligingsonderzoekers die denken dat deze binnenkort in het wild kan worden vrijgegeven. de malware, die nog in aanbouw is, heet Chaos en werd gespot in ondergrondse advertenties waar het wordt aangeboden om te testen. Het is opmerkelijk dat Chaos wordt geadverteerd als ransomware, maar uit analyse blijkt dat het dichter bij de kenmerken van een veger.

"Sinds juni 2021, we hebben een in ontwikkeling zijnde ransomware-builder gemonitord, genaamd Chaos, die wordt aangeboden om te testen op een ondergronds forum. Hoewel het naar verluidt een .NET-versie van Ryuk . is, bij nadere bestudering van het monster blijkt dat het niet veel deelt met de beruchte ransomware,"Trend Micro's onderzoeker Monte de Jesus schreef in een artikel".

Verwant: oppassen! Ryuk Ransomware meer kwaadaardig met nieuwe wormachtige mogelijkheden

Vier verschillende versies van Chaos Ransomware tot nu toe waargenomen

Het lijkt erop dat de wisser in zijn vierde versie is, en lijkt meer op een destructieve trojan dan traditionele ransomware. In termen van zijn evolutie, Jezus zegt dat het proces zich vrij snel heeft ontwikkeld: "Chaos heeft een snelle evolutie doorgemaakt van de allereerste versie tot de huidige iteratie, met versie 1.0 zijn uitgebracht in juni 9, versie 2.0 in juni 17, versie 3.0 in juli 5, en versie 4.0 op augustus. 5.”

De eerste versie van Chaos had de Ryuk-branding in zijn GUI, maar dat is de enige overeenkomst die het deelde met de beruchte ransomware. In plaats van bestandsversleuteling, de eerste iteratie van Chaos verving de inhoud van bestanden door willekeurige bytes, codeer ze vervolgens in Base64. In plaats van de optie voor bestandsdecodering te verlaten, Chaos veranderde bestanden tot het punt waarop ze niet meer konden worden hersteld, waardoor slachtoffers geen prikkel hebben om het losgeld te betalen.

Chaos vertoonde enkele kenmerken die deden denken aan ransomware, zoals het lokaliseren van bepaalde bestandspaden en locaties om te infecteren. Het liet ook een losgeldbriefje vallen met de herkenbare read_it.txt waar het een eis voor een losgeld in Bitcoin aanhaalde.

Het is het vermelden waard dat Chaos-versie 1.0 presenteerde ook een ontwormingsfunctie, waardoor het zich kan verspreiden naar alle schijven op het gecompromitteerde systeem. Deze functie maakte het ook mogelijk voor Chaos om verwisselbare schijven te bereiken en te ontsnappen uit systemen met luchtgaten.

Hoe zit het met versie 2.0? Jezus zegt dat de malware nog steeds de bestanden van zijn doelen overschrijft. Echter, omdat hun bestanden niet konden worden hersteld, slachtoffers weigerden het losgeld te betalen, zoals blijkt uit forumberichten.

Chaos-versie 3.0 gaf de malware de mogelijkheid om bestanden onder 1MV te versleutelen via AES/RSA, waardoor het dichter bij wat traditionele ransomware gewoonlijk doet. De derde versie kwam ook met een eigen decrypter-builder.

Chaos-versie 4.0 breidt de AES/RSA-codering uit door de bovengrens van bestanden die kunnen worden gecodeerd te verhogen naar 2 MB. Het stelt de gebruikers van de ransomware-builder ook in staat om hun eigen bestandsextensies toe te voegen en de bureaubladachtergrond van slachtoffers te wijzigen.

Verwant: Zonnemarkeringen: Een meertraps, Zwaar verduisterde achterdeur

Ten slotte…
Trend Micro zegt dat het geen actieve infecties of slachtoffers van de Chaos-ransomware heeft gezien. "Echter, in handen van een kwaadwillende actor die toegang heeft tot de distributie- en implementatie-infrastructuur van malware, het kan grote schade toebrengen aan organisaties," de analyse-aantekeningen.