Ransomware emergente H0lyGh0st ligado à Coreia do Norte

Pesquisadores da Microsoft associaram um ransomware ameaça que já comprometeu uma série de pequenas e médias empresas a atores patrocinados pelo Estado norte-coreano com motivação financeira que estão ativos desde o ano passado.

Um grupo rastreado por pesquisadores do Microsoft Threat Intelligence Center (MSTIC) como DEV-0530, mas que se autodenomina H0lyGh0st, vem desenvolvendo e usando ransomware em ataques desde junho de 2021.

O grupo comprometeu com sucesso empresas de pequeno e médio porte – incluindo organizações de manufatura, bancos, escolas e empresas de planejamento de eventos e reuniões – em vários países a partir de setembro, disseram pesquisadores do MTIC e da Microsoft Digital Security Unit (MDSU) dentro um post de blog publicado quinta-feira.

O modus operandi padrão do H0lyGh0st é usar um homônimo ransomware para criptografar todos os arquivos no dispositivo de destino usando a extensão de arquivo .h0lyenc e, em seguida, envie à vítima uma amostra dos arquivos como prova. O grupo interage com as vítimas em um .onion site que mantém e no qual fornece um formulário de contato para as vítimas entrarem em contato, disseram os pesquisadores.

[Evento sob demanda GRATUITO: Junte-se ao Zane Bond da Keeper Security em uma mesa redonda Threatpost e aprenda como acessar suas máquinas com segurança de qualquer lugar e compartilhar documentos confidenciais de seu escritório em casa. ASSISTA AQUI.]

O grupo normalmente exige pagamento em Bitcoin em troca de restaurar o acesso aos arquivos. Em seu site, a H0lyGh0st afirma que não venderá ou publicará dados das vítimas se elas pagarem, disseram os pesquisadores. No entanto, ele usa extorsão dupla para pressionar os alvos a pagar, ameaçando publicar dados roubados nas mídias sociais ou enviá-los aos clientes das vítimas se eles não atenderem às exigências de resgate.

Apresentando H0lyGh0st

As campanhas de ransomware da H0lyGh0st são motivadas financeiramente, com pesquisadores observando o texto vinculado a uma nota de resgate que eles interceptaram na qual os invasores afirmam que pretendem “fechar a lacuna entre ricos e pobres”, disseram os pesquisadores.

“Eles também tentam legitimar suas ações alegando aumentar a conscientização de segurança da vítima, informando-as sobre sua postura de segurança”, disseram eles.

O DEV-0530 também tem conexões com outro grupo norte-coreano rastreado como PLUTONIUM, também conhecido como DarkSeoul ou Andariel, de acordo com o MSTIC, com pesquisadores observando as comunicações entre os dois grupos. H0lyGh0st também foi visto usando ferramentas criadas exclusivamente pela PLUTONIUM, disseram eles.

Um conto de duas famílias

Desde que começou a usar ransomware em junho de 2021 e até maio de 2022, o H0lyGh0st empregou duas famílias de malware desenvolvidas sob medida – SiennaPurple e SiennaBlue, disseram os pesquisadores. O MSTIC identificou quatro variantes ligadas a essas famílias: BTLC_C.exe, HolyRS.exe, HolyLock.exe e BLTC.exe.

O BTLC_C.exe é escrito em C++ e é classificado como SiennaPurple, enquanto o restante é escrito na linguagem de programação Go de código aberto, disseram os pesquisadores. Todas as variantes são compiladas em .exe para atingir sistemas Windows, disseram eles.

BLTC_C.exe é um ransomware portátil desenvolvido pelo grupo que foi visto pela primeira vez em junho de 2021. No entanto, pode ter sido uma versão inicial dos esforços de desenvolvimento do grupo, pois não possui muitos recursos em comparação com todas as variantes de malware no SiennaBlue família, disseram os pesquisadores.

Mais tarde na evolução do grupo, entre outubro de 2021 e maio de 2022, a MSTIC observou um conjunto de novas variantes de ransomware DEV-0530 escritas em Go, que eles classificam como variantes do SiennaBlue, disseram eles.

Embora novas funções Go tenham sido adicionadas às várias variantes ao longo do tempo, todos os ransomwares da família SiennaBlue compartilham as mesmas funções principais do Go, observaram os pesquisadores. Esses recursos incluem várias opções de criptografia, ofuscação de strings, gerenciamento de chave pública e suporte para internet e intranet, disseram os pesquisadores.

Variante mais recente

A variante de ransomware mais recente a ser usada pelo grupo é o BTLC.exe, que os pesquisadores viram desde abril deste ano, disseram eles.

O BTLC.exe pode ser configurado para se conectar a um compartilhamento de rede usando o nome de usuário padrão, senha e URL da intranet codificados no malware se o ServerBaseURL não estiver acessível no dispositivo, disseram os pesquisadores.

O malware também inclui um mecanismo de persistência no qual cria ou exclui uma tarefa agendada chamada tarefa de armário que pode iniciar o ransomware. Uma vez que o malware é iniciado com sucesso como administrador, ele tenta se conectar ao ServerBaseURL padrão codificado no malware, tenta fazer upload de uma chave pública para o servidor C2 e criptografa todos os arquivos na unidade da vítima, disseram eles.

Evento sob demanda GRATUITO: Junte-se ao Zane Bond da Keeper Security em uma mesa redonda Threatpost e aprenda como acessar com segurança suas máquinas de qualquer lugar e compartilhar documentos confidenciais de seu escritório em casa. ASSISTA AQUI.