LokiLocker, una forma relativamente nueva de ransomware, utiliza el esquema estándar de extorsión a través del cifrado, pero también incorpora la funcionalidad de limpieza de discos.
La doble extorsión se convirtió en un éxito el año pasado, cuando las pandillas de ransomware comenzaron a robar archivos antes de cifrarlos para amenazar a las víctimas con una fuga de datos confidenciales si no pagaban.
BlackBerry Threat Intelligence ahora advierte que LokiLock, visto por primera vez en agosto de 2021, ahora presenta una «función de limpieza opcional» para presionar a las víctimas de una manera ligeramente diferente.
VER: Ciberseguridad: pongámonos tácticos (Informe especial de MarketingyPublicidad.es)
En lugar de que los atacantes utilicen la amenaza de filtrar los archivos de la víctima para presionarla a pagar, los clientes de LokiLock amenazan con sobrescribir el Registro de arranque maestro (MBR) de Windows de la víctima, lo que borra todos los archivos y deja la máquina inutilizable. Pero esa táctica termina efectivamente con todas las negociaciones sobre el pago, por supuesto.
La funcionalidad de limpieza de discos se ha convertido recientemente en un tema central debido a los destructivos ataques de malware contra organizaciones ucranianas. El gobierno de EE. UU. teme que el malware destructivo pueda apuntar a organizaciones en Occidente en represalia por las sanciones contra Rusia.
Históricamente, el software malicioso de limpieza de discos a menudo ha sido favorecido por piratas informáticos patrocinados por el estado, como fue el caso de NotPetya, WhisperGate y HermeticWiper, todos conectados directa o indirectamente con actores patrocinados por el estado ruso, donde el ransomware es un señuelo para la verdadera intención destructiva.
¿Pero el ransomware comercialmente motivado que destruye la computadora de la víctima? Ciertamente parece ser un estilo diferente de negociación de rescate que el ransomware vinculado a actores rusos.
«Con un solo golpe, todos pierden», señala BlackBerry.
Sin embargo, Microsoft ha estado rastreando grupos de piratería iraníes emergentes, presumiblemente respaldados por el estado o afiliados, que emplean tanto el cifrado como el malware destructivo.
BlackBerry señala alguna evidencia que sugiere que LokiLocker fue desarrollado por piratas informáticos iraníes y diseñado para atacar a víctimas de habla inglesa.
La evidencia: hay muy pocos errores ortográficos en inglés en las cadenas de depuración del malware; Los afiliados de LokiLocker están chateando en foros de piratería iraníes; e Irán es el único lugar actualmente en la lista negra para activar el cifrado. Además, algunas herramientas de descifrado de credenciales distribuidas en las primeras muestras de LokiLocker «parecen haber sido desarrolladas por un equipo de descifrado iraní llamado AccountCrack».
«Aunque no hemos podido evaluar de manera confiable exactamente dónde se origina LokiLocker RaaS, vale la pena mencionar que todas las cadenas de depuración integradas están en inglés y, a diferencia de la mayoría del malware que se origina en Rusia y China, el idioma está en gran parte libre de errores y faltas de ortografía», señala BlackBerry. “No está del todo claro si esto significa que realmente se originan en Irán o que los verdaderos actores de la amenaza están tratando de culpar a los atacantes iraníes”, dijo.
Es común que las pandillas de ransomware con sede en Rusia no activen malware en máquinas dentro de las naciones de la Comunidad de Estados Independientes, a menudo configuradas mediante la lista negra de códigos de idioma específicos dentro de la configuración de idioma de una máquina.
VER: Cómo la invasión rusa de Ucrania amenaza a la industria de TI
Pero BlackBerry dice que LokiLocker parece estar en versión beta. La funcionalidad de la lista negra de Irán no se ha implementado.
En cuanto a la funcionalidad de limpieza de disco, BlackBerry dice que el malware intentará destruir un sistema si no se paga un rescate dentro del plazo especificado. Elimina todos los archivos de la víctima, excepto los archivos del sistema, y también intenta sobrescribir el MBR y luego, después de forzar un mensaje de error de pantalla azul de la muerte, reinicia la máquina borrada y muestra el mensaje: «No nos pagó. Entonces eliminamos todos sus archivos 🙂 Loki locker ransomware_».
Antes de la fecha límite de pago, el malware cambia la pantalla de inicio de sesión y el fondo de escritorio de la víctima por el mensaje de rescate, y suelta un archivo web que muestra la nota de rescate en el escritorio de la víctima detallando el tiempo restante «para perder todos sus archivos».
LokiLocker está escrito en .NET y protegido con NETGuard (ConfuserEX modificado), utilizando un complemento de virtualización adicional llamado KoiVM, según BlackBerry.
«El uso de KoiVM por parte de LokiLocker como protector de virtualización para aplicaciones .NET es un método inusual de complicar el análisis. Todavía no hemos visto muchos otros actores de amenazas usándolo, por lo que este puede ser el comienzo de una nueva tendencia», dijo la compañía. notas
