Noves Variants de Ransomware Emergeixen en el Panorama de Ciberseguretat

Els investigadors de ciberseguretat han detectat una nova variant de la família de ransomware Phobos, coneguda com a “Faust”. Aquesta variant s’està propagant a través d’un document de Microsoft Excel que conté un script VBA. Els atacants utilitzen el servei Gitea per emmagatzemar diversos arxius codificats en Base64, cadascun d’ells portant un binari maliciós. Quan s’injecten a la memòria d’un sistema, aquests arxius inicien un atac de xifrat d’arxius.

Faust és l’última addició a la família Phobos, que inclou Eking, Eight, Elbie, Devos i 8Base. Activa des de 2022, Faust no té com a objectiu indústries o regions específiques. La cadena d’atac comença amb un document XLAM que descarrega dades codificades en Base64 de Gitea, guardant un inofensiu arxiu XLSX mentre recupera furtivament un executable disfressat com a actualitzador d’AVG AntiVirus. Aquest binari funciona com un descarregador per buscar i llançar un altre executable anomenat “SmartScreen Defender Windows.exe”, iniciant el procés de xifrat a través d’un atac sense arxiu.

Noves famílies de ransomware com Albabat (també conegut com a White Bat), Kasseika, Kuiper, Mimus i NONAME han guanyat terreny. Albabat, un malware basat en Rust, es distribueix com a programari fraudulent, incloent una eina falsa d’activació digital de Windows 10 i un programa de trampes per a Counter-Strike 2. Kuiper, un ransomware basat en Golang atribuït a un actor d’amenaces anomenat RobinHood, té com a objectiu Windows, Linux i macOS. El lloc de filtració de dades de NONAME imita al grup LockBit, suggerint una possible connexió.

Els actors del ransomware estan utilitzant cada vegada més TeamViewer com a vector d’accés inicial, desplegant encriptadors basats en el constructor de ransomware LockBit. LockBit 3.0 també s’ha distribuït com a arxius de Microsoft Word disfressats de currículums dirigits a entitats a Corea del Sud.

Source: The Hacker News

Per mitigar amenaces potencials, és important implementar mesures addicionals de ciberseguretat amb l’ajuda d’un soci de confiança com INFRA www.infrascan.net o bé pots provar-ho tu mateix utilitzant check.website.