Zeppelini lunavara lähtekood ja koostaja müüb Dark Webis 500 dollari eest

Taasavaldanud Platon

järgijaid: 0

Ohtnäitleja müüs vaid 500 dollari eest Zeppelini, Venemaa lunavaratüve lähtekoodi ja murtud ehitaja, mida on varem kasutatud arvukates rünnakutes USA ettevõtete ja organisatsioonide vastu kriitilise infrastruktuuri sektorites.

Müük võib anda märku Zeppelini sisaldava lunavara-as-a-service (RaaS) taaselustamisest ajal, mil paljud olid pahavara suures osas mittetoimivana ja kadunud.

Tulekahju müük RAMP-i kuritegevuse foorumil

Iisraeli küberjulgeolekufirma KELA teadlased märkasid detsembri lõpus ohutegijat, kes kasutas käepidet “RET”, kes pakkus Zeppelin2 lähtekoodi ja ehitajat müügiks Venemaa küberkuritegevuse foorumis RAMP, mis muu hulgas võõrustas kunagi Babuki lunavara lekkesaiti. Paar päeva hiljem, 31. detsembril, väitis ähvardaja, et müüs pahavara RAMP foorumi liikmele.

Victoria Kivilevitš, KELA ohuuuringute direktori sõnul on ebaselge, kuidas või kust võis ohutegija Zeppelini koodi ja ehitaja hankida. "Müüja on täpsustanud, et nad "tuldi kokku" ehitajaga ja murdsid selle lahti, et välja filtreerida Delphis kirjutatud lähtekood," räägib Kivilevitš. RET on teinud selgeks, et nad ei ole pahavara autor, lisab ta.

Näib, et müügil olnud kood oli mõeldud Zeppelini versioonile, mis parandas algversiooni krüpteerimisrutiinide mitu nõrkust. Need nõrkused võimaldasid küberjulgeolekufirma Unit221B teadlastel murda Zeppelini krüpteerimisvõtmed ja aidata peaaegu kaks aastat vaikselt ohvriorganisatsioonidel lukustatud andmeid dekrüpteerida. Zeppeliniga seotud RaaS-i aktiivsus vähenes pärast Unit22B uudiseid salajane dekrüpteerimise tööriist sai avalikuks 2022. aasta novembris.

Kivilevitš ütleb, et ainus info koodi kohta, mida RET müügiks pakkus, oli lähtekoodi ekraanipilt. Ainuüksi selle teabe põhjal on KELA-l raske hinnata, kas kood on ehtne või mitte, ütleb ta. Ohunäitleja RET on aga tegutsenud vähemalt kahel muul küberkuritegevuse foorumil, kasutades erinevaid käepidemeid, ja näib, et on saavutanud ühe neist usaldusväärsuse.

"Ühe puhul on tal hea maine ja kolm kinnitasid edukat tehingut foorumi vahendaja teenuse kaudu, mis lisab näitlejale usaldusväärsust," räägib Kivilevitš.

“KELA on näinud ka ühe tema toote ostja neutraalset arvustust, mis tundub olevat viirusetõrje möödaviigulahendus. Ülevaates öeldakse, et see suudab neutraliseerida Windows Defenderiga sarnase viirusetõrje, kuid see ei tööta "tõsise" viirusetõrjega," lisab ta.

Kunagine tugev oht kokkupõrked ja põletused

Zeppelin on lunavara, mida ohus osalejad on kasutanud mitmetes rünnakutes USA sihtmärkide vastu, ulatudes tagasi vähemalt 2019. aastani. Pahavara on Delphi programmeerimiskeeles kirjutatud lunavara VegaLockeri tuletis. 2022. aasta augustis avaldasid USA küberturvalisuse ja infrastruktuuri turbeagentuur (CISA) ja FBI kompromissinäitajad ning üksikasjad taktikate, tehnikate ja protseduuride (TTP-de) kohta, mida Zeppelini näitlejad kasutasid pahavara levitamiseks ja süsteemide nakatamiseks.

Sel ajal kirjeldas CISA pahavara kui seda, et seda kasutati mitmetes rünnakutes USA sihtmärkide vastu, sealhulgas kaitsetöövõtjate, tootjate, haridusasutuste, tehnoloogiaettevõtete ning eriti meditsiini- ja tervishoiutööstuse organisatsioonide vastu. Esialgsed lunarahanõuded Zeppeliniga seotud rünnakute puhul ulatusid mõnest tuhandest dollarist mõnel juhul üle miljoni dollarini.

Kivilevitš ütleb, et tõenäoliselt teeb Zeppelini lähtekoodi ostja seda, mida teised, kui nad on pahavarakoodi omandanud.

"Varem oleme näinud, et erinevad osalejad kasutavad oma tegevuses uuesti teiste tüvede lähtekoodi, mistõttu on võimalik, et ostja kasutab koodi samal viisil," ütleb ta. “Näiteks lekkinud LockBit 3.0 ehitaja võttis kasutusele Bl00dy, LockBit ise kasutas lekkis Conti lähtekood ja koodi, mille nad ostsid BlackMatterilt, ja üks hiljutistest näidetest on Hunters International, kes väitis, et ostis Hive lähtekoodi.

Kivilevitši sõnul pole väga selge, miks ohunäitleja RET võis müüa Zeppelini lähtekoodi ja ehitaja vaid 500 dollari eest. "Raske öelda," ütleb ta. "Võimalik, et ta ei arvanud, et see on kõrgema hinna jaoks piisavalt keerukas – arvestades, et tal õnnestus hankida lähtekood pärast ehitaja murdmist. Kuid me ei taha siin spekuleerida."