Yeni bir fidye yazılımı işlemi, e -postaları çalmak ve dosyaları şifrelemek için Zimbra sunucularını hacklemektir. Ancak, bir fidye ödemesi talep etmek yerine, tehdit aktörleri bir şifreleme sağlamak ve veri sızmasını önlemek için hayır kurumuna bağış gerektirdiğini iddia ediyor.
BleepingComputer tarafından Malaslocker olarak adlandırılan fidye yazılımı operasyonu, Zimbra sunucularını Mart 2023'ün sonuna doğru şifrelemeye başladı ve kurbanlar hem BleepingComputer hem de Zimbra forumlarında e -postalarının şifrelendiğini bildirdi.
Zimbra forumlarındaki çok sayıda kurban,/opt/zimbra/jetty_base/webapps/zimbra/veya/opt/zimbra/iskeleye yüklenen şüpheli JSP dosyalarını bulduğunu bildiriyor.
Bu dosyalar info.jsp, noops.jsp ve heartbeat.jsp [virustotal] dahil olmak üzere farklı adlar altında bulundu. BleepingComputer'ın bulduğu startup1_3.jsp [virustotal], açık kaynaklı bir webshell'e dayanmaktadır.
E -posta mesajlarını şifrelerken, dosyanın adına ekstra dosya uzantısı eklenmez. Bununla birlikte, güvenlik araştırmacısı MalwareHunterTeam, BleepingComputer'a “Bu dosya şifrelenmiş, şifre çözme talimatları için readme.txt arayın” mesajını eklediklerini söyledi.
Şu anda tehdit aktörlerinin Zimbra sunucularını nasıl ihlal ettiği belirsiz.
Şifreleme ayrıca, bir şifreleme almak ve çalıntı verilerin sızmasını önlemek için alışılmadık bir fidye talebi ile gelen Readme.txt adlı fidye notları oluşturacaktır: "onayladıkları kar amacı gütmeyen bir yardım kuruluşuna bağış.
Malaslocker fidye notunu, "Geleneksel fidye yazılımı gruplarının aksine, bize para göndermenizi istemiyoruz. Sadece şirketleri ve ekonomik eşitsizliği sevmiyoruz."
"Sadece onayladığımız kar amacı gütmeyen bir kuruluşa bağışta bulunmanızı istiyoruz. Bu bir kazan-kazan, muhtemelen isterseniz bağışınızdan bir vergi indirimi ve iyi PR alabilirsiniz."
Fidye notları, tehdit aktörleriyle iletişim kurmak için bir e -posta adresi veya grup için en güncel e -posta adresini içeren bir TOR URL'si içerir. Not ayrıca, altta, makalenin ilerleyen saatlerinde daha fazla ayrıntıya gireceğimiz bir şifreleme alması gereken Base64 kodlu bir metin bölümüne sahiptir.
Fidye notları fidye yazılımı çetesinin veri sızıntısı sitesine bir bağlantı içermese de, Emsisoft tehdit analisti Brett Callow, "Somos Malas ... Podemos Ser Peores," tercüme edilen, "başlıklı veri sızıntı sitesine bir bağlantı buldu. Biz kötüyüz ... Daha kötü olabiliriz. "
Malaslocker veri sızıntı sitesi şu anda üç şirket için çalınan verileri ve diğer 169 kurban için Zimbra yapılandırmasını dağıtıyor.
Veri sızıntısı sitesinin ana sayfası, neyi temsil ettiklerini ve ihtiyaç duydukları fidye açıklayan uzun bir emoji dolu mesaj içerir.
Malaslocker veri sızıntı sitesini okur. "Şirketlerin bilgisayarlarını istediklerine para bağışlamalarını istemek için şifreleyen yeni bir fidye yazılımı grubuyuz."
Diyerek şöyle devam etti: "Seçtikleri bir kâr amacı gütmeyen kuruluşa bağış yaptıklarını ve daha sonra e -postanın gerçek olduğundan emin olmak için DKIM imzasını kontrol edebilmemiz için bağışları onayladıkları ve bize gönderdikleri e -postayı kaydeddiklerini istiyoruz."
Bu fidye talebi çok sıradışı ve dürüstse operasyonu daha fazla hacktivizm alanına sokuyor.
Bununla birlikte, BleepingComputer, bir kurban bir şifreleme için bir hayır kurumuna para bağışladığında tehdit aktörlerinin sözlerini tutup tutmadığını henüz belirlememiştir.
BleepingComputer, Malaslocker operasyonu için şifreleyiciyi bulamadı. Bununla birlikte, fidye notasındaki Base64 kodlu blok, bir kurbanın özel şifre çözme anahtarını şifresini çözmek için gereken bir yaş şifreleme aracı başlığını kodlar.
Yaş şifreleme aracı, Google'daki kriptograf ve Go Güvenlik Lideri Filippo Valsorda tarafından geliştirildi ve X25519 (bir ECDH eğrisi), Chachar20-Poly1305 ve HMAC-SHA256 algoritmalarını kullanıyor.
Bu, sadece birkaç fidye yazılımı işlemi olan ve hepsi Windows cihazlarını hedeflemeyen nadir bir şifreleme yöntemidir.
Birincisi, 2020'de keşfedilen Agelocker'dı ve diğeri Ağustos 2022'de Malwarehunterteam tarafından bulundu ve her ikisi de QNAP cihazlarını hedef aldı.
Ayrıca, QNAP kampanyasından ve Agelocker'ın fidye notları benzer bir dili paylaşıyor ve en azından bu iki işlemi daha da birbirine bağlıyor.
Bu en iyi ihtimalle zayıf bir bağlantı olsa da, pencere dışı cihazların hedeflenmesi ve bu fidye yazılımı işlemlerinin tümü tarafından yaş şifrelemesini kullanmak bunların ilişkili olduklarını gösterebilir.
Kış Vivern Hacker'ları NATO e -postalarını çalmak için Zimbra Kusurdan İstismar
ScanSource, çok günlük kesintilerin arkasındaki fidye yazılımı saldırısı diyor
FBI, Bianlian Ransomware Switch'i sadece gasplara doğru çıkarır
Kritik altyapıya yönelik saldırılarla suçlanan Rus fidye yazılım ortağı
Fidye Yazılımı Önleme - Şifre Güvenliği Gereksinimlerini Yeterince karşılıyor
Kaynak: Bleeping Computer