Zeppelin Ransomware ซอร์สโค้ดและตัวสร้างขายได้ในราคา 500 ดอลลาร์บนเว็บ Dark Web

เผยแพร่ซ้ำโดยเพลโต

ผู้ติดตาม: 0

ผู้ก่อภัยคุกคามขายซอร์สโค้ดและตัวสร้างแคร็กสำหรับ Zeppelin ซึ่งเป็นแรนซั่มแวร์สายพันธุ์รัสเซียที่ใช้ในการโจมตีธุรกิจและองค์กรของสหรัฐฯ ในภาคโครงสร้างพื้นฐานที่สำคัญในอดีตหลายครั้งด้วยราคาเพียง 500 ดอลลาร์

การขายครั้งนี้อาจส่งสัญญาณถึงการฟื้นตัวของ ransomware-as-a-service (RaaS) ที่มี Zeppelin ในช่วงเวลาที่หลายๆ คนได้ตัดมัลแวร์ดังกล่าวออกเนื่องจากส่วนใหญ่ใช้งานไม่ได้และไม่ได้ใช้งานแล้ว

การขายไฟในฟอรัม RAMP Crime

นักวิจัยจากบริษัทรักษาความปลอดภัยทางไซเบอร์ของอิสราเอล KELA ในช่วงปลายเดือนธันวาคม ตรวจพบผู้คุกคามที่ใช้ชื่อเรียก “RET” ซึ่งเสนอซอร์สโค้ดและตัวสร้างสำหรับ Zeppelin2 ขายบน RAMP ซึ่งเป็นฟอรัมอาชญากรรมในโลกไซเบอร์ของรัสเซีย ซึ่งครั้งหนึ่งเคยเป็นโฮสต์ของไซต์รั่วไหลของแรนซัมแวร์ Babuk สองสามวันต่อมา ในวันที่ 31 ธันวาคม ผู้คุกคามอ้างว่าขายมัลแวร์ให้กับสมาชิกฟอรัม RAMP

วิกตอเรีย คิวิเลวิช ผู้อำนวยการฝ่ายวิจัยภัยคุกคามที่ KELA กล่าวว่ายังไม่ชัดเจนว่าผู้ดำเนินการภัยคุกคามอาจได้รับรหัสและผู้สร้าง Zeppelin ได้อย่างไรหรือจากที่ไหน “ผู้ขายระบุว่าพวกเขา 'เจอ' ผู้สร้างและถอดรหัสมันเพื่อขโมยซอร์สโค้ดที่เขียนด้วย Delphi” Kivilevich กล่าว RET ได้ชี้แจงอย่างชัดเจนว่าพวกเขาไม่ใช่ผู้เขียนมัลแวร์ เธอกล่าวเสริม

โค้ดที่ลดราคาดูเหมือนจะเป็นเวอร์ชันของ Zeppelin ที่แก้ไขจุดอ่อนหลายประการในขั้นตอนการเข้ารหัสของเวอร์ชันดั้งเดิม จุดอ่อนเหล่านั้นทำให้นักวิจัยจากบริษัทรักษาความปลอดภัยทางไซเบอร์ Unit221B สามารถถอดรหัสคีย์เข้ารหัสของ Zeppelin และช่วยองค์กรเหยื่อถอดรหัสข้อมูลที่ล็อคไว้อย่างเงียบๆ เป็นเวลาเกือบสองปี กิจกรรม RaaS ที่เกี่ยวข้องกับ Zeppelin ลดลงหลังจากข่าวของ Unit22B เครื่องมือถอดรหัสลับ เผยแพร่ต่อสาธารณะในเดือนพฤศจิกายน 2022

Kivilevich กล่าวว่าข้อมูลเดียวในโค้ดที่ RET เสนอขายคือภาพหน้าจอของซอร์สโค้ด จากข้อมูลดังกล่าวเพียงอย่างเดียว KELA จึงประเมินได้ยากว่าโค้ดนั้นเป็นของแท้หรือไม่ เธอกล่าว อย่างไรก็ตาม ผู้ดำเนินการภัยคุกคาม RET ได้ใช้งานฟอรัมอาชญากรรมทางไซเบอร์อื่น ๆ อย่างน้อยสองฟอรัมโดยใช้การจัดการที่แตกต่างกัน และดูเหมือนว่าจะสร้างความน่าเชื่อถือในฟอรัมใดฟอรัมหนึ่ง

“ หนึ่งในนั้นเขามีชื่อเสียงที่ดีและมีข้อตกลงที่ประสบความสำเร็จสามข้อที่ยืนยันผ่านบริการคนกลางของฟอรัมซึ่งเพิ่มความน่าเชื่อถือให้กับนักแสดง” Kivilevich กล่าว

“KELA ยังได้เห็นบทวิจารณ์ที่เป็นกลางจากผู้ซื้อผลิตภัณฑ์ตัวใดตัวหนึ่งของเขา ซึ่งดูเหมือนว่าจะเป็นโซลูชันบายพาสแอนตี้ไวรัส รีวิวกล่าวว่าสามารถต่อต้านแอนตี้ไวรัสที่คล้ายกับ Windows Defender ได้ แต่มันจะใช้งานไม่ได้กับแอนตี้ไวรัสที่ 'ร้ายแรง'” เธอกล่าวเสริม

ภัยคุกคามที่ครั้งหนึ่งอาจล่มและลุกลาม

Zeppelin เป็นแรนซัมแวร์ที่ผู้คุกคามใช้ในการโจมตีเป้าหมายของสหรัฐฯ หลายครั้งย้อนกลับไปอย่างน้อยปี 2019 มัลแวร์นี้เป็นอนุพันธ์ของ VegaLocker ซึ่งเป็นแรนซัมแวร์ที่เขียนด้วยภาษาการเขียนโปรแกรม Delphi ในเดือนสิงหาคม ปี 2022 หน่วยงานรักษาความปลอดภัยทางไซเบอร์และโครงสร้างพื้นฐานของสหรัฐอเมริกา (CISA) และ FBI ได้เปิดเผยตัวบ่งชี้ของการประนีประนอมและรายละเอียดเกี่ยวกับกลยุทธ์ เทคนิค และขั้นตอน (TTP) ที่นักแสดง Zeppelin ใช้เพื่อเผยแพร่มัลแวร์และระบบติดเชื้อ

ในขณะนั้น CISA อธิบายว่ามัลแวร์ดังกล่าวถูกใช้ในการโจมตีเป้าหมายของสหรัฐฯ หลายครั้ง รวมถึงผู้รับเหมาด้านการป้องกัน ผู้ผลิต สถาบันการศึกษา บริษัทเทคโนโลยี และโดยเฉพาะอย่างยิ่งองค์กรในอุตสาหกรรมการแพทย์และการดูแลสุขภาพ การเรียกร้องค่าไถ่เบื้องต้นในการโจมตีที่เกี่ยวข้องกับ Zeppelin มีตั้งแต่สองสามพันดอลลาร์ไปจนถึงมากกว่าหนึ่งล้านดอลลาร์ในบางกรณี

Kivilevich กล่าวว่ามีแนวโน้มว่าผู้ซื้อซอร์สโค้ด Zeppelin จะทำในสิ่งที่คนอื่นทำเมื่อพวกเขาได้รับโค้ดมัลแวร์

“ในอดีต เราเคยเห็นนักแสดงหลายคนนำซอร์สโค้ดของสายพันธุ์อื่นมาใช้ซ้ำในการดำเนินงานของพวกเขา ดังนั้นจึงเป็นไปได้ที่ผู้ซื้อจะใช้โค้ดในลักษณะเดียวกัน” เธอกล่าว “ยกตัวอย่างเรื่องที่รั่วไหลออกมา ล็อคบิท 3.0 ตัวสร้างได้รับการรับรองโดย Bl00dy ตัว LockBit ก็ใช้งานอยู่ ซอร์สโค้ดของ Conti รั่วไหลออกมา และโค้ดที่พวกเขาซื้อจาก BlackMatter และหนึ่งในตัวอย่างล่าสุดคือ Hunters International ที่อ้างว่าได้ซื้อซอร์สโค้ด Hive”

Kivilevich กล่าวว่ายังไม่ชัดเจนว่าทำไมนักแสดงที่เป็นภัยคุกคาม RET อาจขายซอร์สโค้ดและผู้สร้างของ Zeppelin ในราคาเพียง 500 ดอลลาร์ “ยากที่จะบอก” เธอกล่าว “บางทีเขาอาจไม่คิดว่ามันซับซ้อนเพียงพอสำหรับราคาที่สูงกว่า — เมื่อพิจารณาว่าเขาจัดการเพื่อให้ได้ซอร์สโค้ดหลังจากถอดรหัสตัวสร้างแล้ว แต่เราไม่ต้องการคาดเดาที่นี่”