El nuevo ransomware de Rook se basa en el código fuente de Babuk
Expertos de Sentinel One haber descubierto una nueva torre de ransomware, que parece estar basado en el código fuente filtrado durante mucho tiempo del ransomware Babuk.
La carga útil del malware generalmente se envía a través de Golpe de cobalto, utilizando correos electrónicos de phishing y torrents pirateados como vector de infección inicial. Para más sigilo, Torre las cargas útiles se empaquetan utilizando UPX u otros medios criptográficos.
Cuando se lanza, el ransomware intenta terminar cualquier proceso relacionado con los mecanismos de seguridad u otras cosas que también podrían interrumpir el cifrado.
El informe también señala que Rook usa vssadmin.exe para eliminar instantáneas.
Hasta aquí, los investigadores no han encontrado ningún mecanismo de fijación en el sistema, entonces Rook cifra los archivos agregándoles la extensión .Rook, y luego se borra de la máquina comprometida.
Los investigadores escriben que notaron numerosas similitudes de código entre Rook y Babuk, cuyo código fuente fue publicado en un foro en ruso en el otoño de 2021. Por ejemplo, Rook usa las mismas llamadas a la API para obtener el nombre y el estado de cada servicio en ejecución, y las mismas funciones para matarlos. Adicionalmente, la lista de procesos y servicios de Windows eliminados es la misma para ambos ransomware (incluso: Vapor, microsoft Cliente de correo electrónico de Office y Outlook, así como también Mozilla Firefox y Thunderbird). Como resultado, Centinela uno los expertos concluyen que Rook se basa en el código fuente de Babuk.
Déjame recordarte que escribimos eso Concierto ransomware ataca los servidores de Minecraft, tan bueno como eso Los investigadores descubrieron ALPHV ransomware escrito en Rust.
