Zoom Zoom: il ransomware "Dark Power" estorce 10 obiettivi in ​​meno di un mese

Una nascente banda di ransomware è entrata in scena con vigore, violando almeno 10 organizzazioni in meno di un mese.

Il gruppo, che i ricercatori di Trellix hanno chiamato "Dark Power", è per molti versi simile a qualsiasi altro gruppo di ransomware. Ma si separa dal branco a causa della pura velocità e mancanza di tatto e del suo uso del linguaggio di programmazione Nim.

"Li abbiamo osservati per la prima volta in natura verso la fine di febbraio", osserva Duy Phuc Pham, uno degli autori di un giovedì post sul blog che profila Dark Power. "Quindi è passato solo mezzo mese e già 10 vittime sono colpite".

La cosa strana è che non sembra esserci alcuna rima o ragione su chi prende di mira Dark Power, hanno detto i ricercatori di Trellix. Il gruppo ha aumentato il proprio numero di vittime in Algeria, Repubblica Ceca, Egitto, Francia, Israele, Perù, Turchia e Stati Uniti, nei settori dell'agricoltura, dell'istruzione, della sanità, dell'IT e della produzione.

Usare Nim come vantaggio

Un altro modo significativo in cui Dark Power si distingue è nella scelta del linguaggio di programmazione.

"Vediamo che c'è una tendenza in cui i criminali informatici si stanno estendendo ad altri linguaggi di programmazione", afferma Pham. La tendenza è rapida diffusione tra gli attori della minaccia. "Quindi, anche se usano lo stesso tipo di tattiche, il malware eluderà il rilevamento."

Dark Power utilizza Nim, un linguaggio di alto livello descrivono i suoi creatori efficiente, espressiva ed elegante. Nim era "un linguaggio un po' oscuro in origine", hanno notato gli autori nel loro post sul blog, ma "ora è più diffuso per quanto riguarda la creazione di malware. I creatori di malware lo usano poiché è facile da usare e ha funzionalità multipiattaforma.

Rende anche più difficile per i bravi ragazzi tenere il passo. "Il costo del continuo mantenimento della conoscenza da parte del difensore è superiore all'abilità richiesta all'attaccante per imparare una nuova lingua", secondo Trellix.

Cos'altro sappiamo sul potere oscuro

Gli stessi attacchi seguono un logoro manuale di ransomware: Vittime di ingegneria sociale tramite e-mail, download e crittografia di file, richieste di riscatto ed estorsioni ripetute alle vittime, indipendentemente dal fatto che paghino.

Anche la banda si impegna classica doppia estorsione. Ancor prima che le vittime sappiano di essere state violate, Dark Power "potrebbe aver già raccolto i loro dati sensibili", spiega Pham. “E poi lo usano per il secondo riscatto. Questa volta dicono che se non hai intenzione di pagare, renderemo pubbliche le informazioni o le venderemo sul Dark Web".

Come sempre, però, è un Comma 22, perché "non c'è alcuna garanzia che se paghi il riscatto, non ci saranno conseguenze".

Pertanto, le aziende devono disporre di politiche e procedure per proteggersi, inclusa la capacità di rilevare i binari Nim.

"Possono provare a stabilire solidi sistemi di backup e ripristino", afferma Pham. “Questa è, credo, la cosa più importante. Suggeriamo inoltre che le organizzazioni dispongano di un piano di risposta agli incidenti molto preciso e molto potente prima che tutto ciò possa accadere. Con ciò, possono ridurre l'impatto dell'attacco se si verifica.

• Distribuzione di contenuti basati su SEO e PR. Ricevi amplificazione oggi.
• Platoblockchain. Web3 Metaverse Intelligence. Conoscenza amplificata. Accedi qui.
• Fonte: https://www.darkreading.com/vulnerabilities-threats/dark-power-ransomware-extorts-10-targets-less-than-a-month