Il nuovo ransomware di Rook si basa sul codice sorgente di Babuk
Esperti di Sentinel One ho scoperto un nuovo ransomware Rook, che sembra essere basato sul codice sorgente trapelato da tempo del ransomware Babuk.
Il payload del malware viene solitamente consegnato tramite Colpo di cobalto, utilizzando e-mail di phishing e torrent piratati come vettore di infezione iniziale. Per più furtività, Torre i payload sono impacchettati utilizzando UPX o altri mezzi crittografici.
Quando lanciato, il ransomware tenta di terminare qualsiasi processo relativo a meccanismi di sicurezza o altre cose che potrebbero anche interrompere la crittografia.
Il rapporto rileva inoltre che Rook utilizza vssadmin.exe per rimuovere le copie shadow.
Finora, i ricercatori non hanno trovato alcun meccanismo di blocco sul sistema, quindi Rook crittografa i file aggiungendo loro l'estensione .Rook, e poi si cancella dalla macchina compromessa.
I ricercatori scrivono di aver notato numerose somiglianze di codice tra Rook e Babuk, il cui codice sorgente è stato pubblicato su un forum in lingua russa nell'autunno del 2021. Per esempio, Rook utilizza le stesse chiamate API per ottenere il nome e lo stato di ciascun servizio in esecuzione, e le stesse funzioni per ucciderli. Inoltre, l'elenco dei processi e dei servizi di Windows eliminati è lo stesso per entrambi i ransomware (Compreso: Vapore, Microsoft Client di posta elettronica Office e Outlook, così come Mozilla Firefox e Thunderbird). Di conseguenza, Sentinella Uno gli esperti concludono che Rook si basa sul codice sorgente Babuk.
Lascia che ti ricordi che l'abbiamo scritto Concerto ransomware attacca i server Minecraft, così come quello I ricercatori hanno scoperto ALPHV ransomware scritto in Rust.
