Rooks nya ransomware är baserad på Babuk källkod
Sentinel One-experter har upptäckt en ny ransomware Rook, som verkar vara baserad på den länge läckta källkoden för Babuk ransomware.
Den skadliga nyttolasten levereras vanligtvis via Koboltstrejk, använder nätfiske-e-postmeddelanden och piratkopierade torrents som den första infektionsvektorn. För mer smyg, Råka nyttolaster paketeras med UPX eller andra kryptografiska metoder.
När den lanseras, ransomwaren försöker avsluta alla processer relaterade till säkerhetsmekanismer eller andra saker som också kan avbryta kryptering.
Rapporten noterar också att Rook använder vssadmin.exe för att ta bort skuggkopior.
Än så länge, forskare har inte hittat några fästmekanismer på systemet, så Rook krypterar filer genom att lägga till tillägget .Rook till dem, och tar sedan bort sig själv från den komprometterade maskinen.
Forskarna skriver att de märkte många kodlikheter mellan Rook och Babuk, vars källkod publicerades på ett ryskspråkigt forum hösten 2021. Till exempel, Rook använder samma API-anrop för att få namn och status för varje tjänst som körs, och samma funktioner för att döda dem. För övrigt, listan över eliminerade Windows-processer och tjänster är densamma för båda ransomware (Inklusive: Ånga, Microsoft Office och Outlook e-postklient, såväl som Mozilla Firefox och Thunderbird). Som ett resultat, Sentinel One experter drar slutsatsen att Rook är baserad på Babuk-källkoden.
Låt mig påminna dig om att vi skrev det Konsert ransomware attackerar Minecraft-servrar, liksom det Forskare upptäckte ALPHV ransomware skriven i Rust.
