北朝鮮に結び付けられた新興のH0lyGh0stランサムウェア

マイクロソフトの研究者は、新興企業をリンクしました ランサムウェア 昨年以来活動している北朝鮮の国家支援の関係者に、すでに多くの中小企業を危険にさらしている脅威。

Microsoft Threat Intelligence Center（MSTIC）の研究者によってDEV-0530として追跡されているが、H0lyGh0stと呼ばれるグループは、2021年XNUMX月以来、攻撃でランサムウェアを開発および使用しています。

MTICとMicrosoftDigitalSecurity Unit（MDSU）の研究者によると、このグループは、製造組織、銀行、学校、イベントや会議の計画会社など、複数の国で中小企業の侵害に成功しています。の ブログ投稿 木曜日に公開されました。

H0lyGh0stの標準的な手口は、名前の由来を使用することです ランサムウェア ファイル拡張子.h0lyencを使用してターゲットデバイス上のすべてのファイルを暗号化し、証拠として被害者にファイルのサンプルを送信します。 グループは犠牲者と対話します 。玉ねぎ 研究者によると、それが維持し、被害者が連絡を取るための連絡フォームを提供するサイト。

[無料のオンデマンドイベント: 脅威ポストの円卓会議でKeeperSecurityのZaneBondに参加して、どこからでもマシンに安全にアクセスし、ホームオフィスから機密文書を共有する方法を学びましょう。 ここで見る.]

グループは通常、ファイルへのアクセスを復元する代わりにビットコインでの支払いを要求します。 研究者によると、H0lyGh0stは、そのWebサイトで、被害者のデータを支払っても販売または公開しないと主張しています。 ただし、 二重恐喝 標的に支払いを迫り、盗んだデータをソーシャルメディアに公開したり、身代金の要求を満たさない場合は被害者の顧客に送信したりすると脅迫します。

H0lyGh0stの紹介

H0lyGh0stのランサムウェアキャンペーンは金銭的な動機であり、研究者は、攻撃者が「金持ちと貧乏人の間のギャップを埋める」ことを目的としていると主張する身代金メモにリンクされたテキストを観察しています。

「彼らはまた、被害者に彼らの安全姿勢についてもっと知らせることによって被害者の安全意識を高めると主張することによって彼らの行動を正当化しようとします」と彼らは言いました。

DEV-0530は、MSTICによると、プルトニウム（DarkSeoulまたはAndarielとも呼ばれる）として追跡されている別の北朝鮮を拠点とするグループとも関係があり、研究者は0つのグループ間の通信を観察しています。 H0lyGhXNUMXstは、PLUTONIUMによって独占的に作成されたツールを使用して見られたとも彼らは言った。

XNUMXつの家族の物語

H2021lyGh2022stは、0年0月からXNUMX年XNUMX月までランサムウェアの使用を開始して以来、カスタム開発されたXNUMXつのマルウェアファミリであるSiennaPurpleとSiennaBlueを採用してきました。 MSTICは、これらのファミリにリンクされているXNUMXつの亜種、BTLC_C.exe、HolyRS.exe、HolyLock.exe、およびBLTC.exeを特定しました。

BTLC_C.exeはC++で記述されており、SiennaPurpleとして分類されていますが、残りはオープンソースのGoプログラミング言語で記述されていると研究者は述べています。 すべての亜種は、Windowsシステムをターゲットにするために.exeにコンパイルされていると彼らは言った。

BLTC_C.exeは、2021年XNUMX月に最初に見られたグループによって開発されたポータブルランサムウェアです。ただし、SiennaBlueのすべてのマルウェアの亜種と比較して多くの機能を備えていないため、グループの開発努力の初期バージョンであった可能性があります。家族、研究者は言った。

グループの進化の後半、2021年2022月から0530年XNUMX月の間に、MSTICは、Goで記述された新しいDEV-XNUMXランサムウェアバリアントのクラスターを観察しました。これらはSiennaBlueバリアントとして分類されます。

さまざまな亜種に新しいGo機能が追加されてきましたが、SiennaBlueファミリーのすべてのランサムウェアは、同じコアGo機能を共有していると研究者は観察しています。 これらの機能には、さまざまな暗号化オプション、文字列の難読化、公開鍵管理、インターネットとイントラネットのサポートが含まれると研究者らは述べています。

最新のバリアント

このグループが使用する最新のランサムウェアの亜種はBTLC.exeであり、研究者たちは今年のXNUMX月から野生で見ていると彼らは述べています。

BTLC.exeは、マルウェアにハードコードされたデフォルトのユーザー名、パスワード、イントラネットURLを使用してネットワーク共有に接続するように構成でき、ServerBaseURLにデバイスからアクセスできない場合に使用できると研究者は述べています。

このマルウェアには、と呼ばれるスケジュールされたタスクを作成または削除する永続化メカニズムも含まれています。 ロッカータスク ランサムウェアを起動できます。 マルウェアが管理者として正常に起動されると、マルウェアにハードコードされたデフォルトのServerBaseURLに接続しようとし、公開鍵をC2サーバーにアップロードしようとし、被害者のドライブ内のすべてのファイルを暗号化します。

無料のオンデマンドイベント：Threatpost円卓会議でKeeperSecurityのZaneBondに参加し、どこからでもマシンに安全にアクセスし、ホームオフィスから機密文書を共有する方法を学びます。 ここで見る.