Vice Society fidye yazılımı işlemi, NTRUEncrypt ve Chacha20-Poly1305'e dayanan güçlü, hibrit bir şifreleme şeması uygulayan özel bir fidye yazılımı şifrelemesi kullanmaya geçti.
Yeni gerginliği keşfeden ve ona "çoklu" adını veren siber güvenlik firması Sentinelone'a göre, Vice Society'nin onu diğer fidye yazılımı gruplarına benzer araçlar sağlayan bir satıcıdan tedarik etmesi muhtemel.
Vice Society ilk olarak 2021 yazında, kurumsal ağlardan veri çalmaya ve cihazları şifrelemeye başladığında ortaya çıktı. Tehdit aktörleri daha sonra bir fidye ödenmezse verileri yayınlamakla tehdit ederek çift genişlemeli saldırılar gerçekleştireceklerdir.
Tarihsel olarak, Vice Society, Zeppelin, Five Hands ve Hellokitty de dahil olmak üzere saldırılar sırasında diğer fidye yazılımı operasyonlarının şifrelemelerini kullandı.
Bununla birlikte, bu değişmiş gibi görünüyor, Vice Society şimdi bir emtia fidye yazılımı üreticisi tarafından üretildiğine inanılan yeni bir şifreleme kullanıyor.
Bununla birlikte, yeni çok yönlü suş, Vice Society saldırılarına, ".Vicesociety" uzantısını kilitli dosyalara ekleyerek ve 'allyfilesae' adlı fidye notlarını düşürerek benzersiz bir imza verir.
Yeni varyant ilk olarak Wild'da 13 Temmuz 2022'de görüldü, ancak daha sonraya kadar grup tarafından tam olarak benimsenmedi.
SentinelOne'un analizi, çok görüşlü, işlevlerde% 100 eşleşen soğuk fidye yazılımları ve Sunnyday Fidyeware ile kapsamlı kod benzerliklerine sahip olduğunu ortaya koyuyor.
Farklılıklar, ortak satıcı hipotezini destekleyen dosya uzantısı, fidye not adı, sabit kodlu ana anahtar, duvar kağıdı vb. Gibi kampanyaya özgü ayrıntılarda yer almaktadır.
Raporda, "Kod tasarımı, fidye yazılımı geliştiricisinin, bir şablon yükünü ikili yamalayarak alıcıların bağımsız olarak herhangi bir sayıda dolap/şifre oluşturmalarını sağlayan bir inşaatçı sunduğunu öneriyor."
"Bu, alıcıların herhangi bir kaynak kodu açığa çıkarmadan fidye yazılımlarını özelleştirmelerini sağlar. Bilinen diğer RAAS üreticilerinin aksine, alıcılar markalı yükler oluşturabilir ve kendi RAAS programlarını çalıştırmalarını sağlar."
Polyvice, asimetrik şifrelemeyi NTRUEncrypt algoritması ile birleştiren hibrit şifreleme şeması ve Chacha20-Poly1305 algoritması ile simetrik şifreleme kullanır.
Lansman üzerine, yük, önceden oluşturulmuş 192 bit NTRU genel anahtarını içe aktarır ve daha sonra her kurbana özgü olan uzlaşılmış sistemde rastgele 112 bit NTRU özel anahtar çifti üretir.
Bu çift daha sonra her dosyaya özgü olan Chacha20-Poly1305 simetrik tuşlarını şifrelemek için kullanılır. Son olarak, NTRU anahtar çifti sonunda geri alma girişimlerinden korumak için genel NTRU anahtarı kullanılarak şifrelenir.
Polyvice fidye yazılımı, paralel simetrik veri şifrelemesi için çoklu iş parçacığını kullanan ve şifreleme işlemini hızlandırmak için kurbanın işlemcisini tam olarak kullanan 64 bit bir ikilidir.
Ayrıca, her bir çok yönlü çalışan, her durumda hangi hız optimizasyonlarının uygulanabileceğini belirlemek için dosya içeriğini okur. Bu optimizasyonlar dosya boyutuna bağlıdır, çok görüş seçici olarak aralıklı şifreleme uygular.
Şifrelemeden sonra, her çok eşli çalışanı dosya altbilgisini şifre çözme için gerekli bilgilerle yazar.
Tüm bu özellikler, Vice Society, Soğuk ve Sunnyday Ransomware tarafından kullanılan yeni fidye yazılımı suşlarını geliştirenlerin, deneyimli ve bilgili bir kötü amaçlı yazılım yaratıcısı olduğunu göstermektedir.
Sonuç olarak, Sentinelone'un bulguları, uzayda dış kaynak kullanma eğiliminin altını çiziyor ve fidye yazılımı çeteleri sofistike, yüksek performanslı araçlar oluşturmak için uzmanlara ödeme yapıyor.
Kullanılabilirlik ve maliyet seviyesine bağlı olarak, bu araçlar düşük vasıflı fidye yazılımı aktörlerinin felaket saldırıları başlatmasını ve kuruluşlarda önemli hasara neden olmasını kolaylaştırabilir.
Fidye Yazılımında Hafta - 9 Aralık 2022 - Geniş Etki
Vice Society fidye yazılımı, Cincinnati State College'a saldırı talep ediyor
Ransomware'de Hafta - 28 Ekim 2022 - Sağlık Sızıntıları
Ransomware'de Hafta - 23 Aralık 2022 - Microsoft Exchange'i Hedefleme
Ransomware Gang, sunucuları ihlal etmek için yeni Microsoft Exchange istismarını kullanıyor
Kaynak: Bleeping Computer