Le nouveau ransomware de Rook est basé sur le code source de Babuk
Experts Sentinelle 1 a découvert un nouveau ransomware Rook, qui semble être basé sur le code source divulgué depuis longtemps du ransomware Babuk.
La charge utile du malware est généralement livrée via Frappe au cobalt, en utilisant des e-mails de phishing et des torrents piratés comme vecteur d'infection initial. Pour plus de discrétion, Tour les charges utiles sont empaquetées à l'aide d'UPX ou d'autres moyens cryptographiques.
Lors du lancement, le ransomware essaie de mettre fin à tous les processus liés aux mécanismes de sécurité ou à d'autres choses qui pourraient également interrompre le cryptage.
Le rapport note également que Rook utilise vssadmin.exe pour supprimer les clichés instantanés.
Jusque là, les chercheurs n'ont trouvé aucun mécanisme d'épinglage sur le système, donc Rook crypte les fichiers en leur ajoutant l'extension .Rook, puis se supprime de la machine compromise.
Les chercheurs écrivent qu'ils ont remarqué de nombreuses similitudes de code entre Rook et Babouk, dont le code source a été publié sur un forum en langue russe à l'automne 2021. Par exemple, Rook utilise les mêmes appels d'API pour obtenir le nom et l'état de chaque service en cours d'exécution, et les mêmes fonctions pour les tuer. en outre, la liste des processus et services Windows éliminés est la même pour les deux ransomwares (comprenant: Fumer, Microsoft Client de messagerie Office et Outlook, aussi bien que Mozilla Firefox et Thunderbird). Par conséquent, Sentinelle 1 les experts concluent que Rook est basé sur le code source de Babuk.
Permettez-moi de vous rappeler que nous avons écrit que Concert un ransomware attaque les serveurs Minecraft, aussi bien que ça Les chercheurs ont découvert ALPHV ransomware écrit en Rust.
