Memento Ransomware
Memento Ransomware je relativně nová hrozba na poli ransomwaru. Skupina vznikla v říjnu 2021, kdy se začala zaměřovat na zranitelné webové klienty VMware vCenter Server. Jako počáteční vektor infekce hackeři zneužili kritickou zranitelnost vCenter sledovanou jako 'CVE-2021-21971', která umožňovala spouštět vzdálené příkazy ovlivňující OS narušeného počítače. Oprava řešící tento konkrétní exploit byla vydána již v únoru, ale jak útok Memento jasně ukázal, existuje spousta organizací, které bezpečnostní opravu neaplikovaly a jsou stále ohroženy.
Podrobnosti o útoku
Po získání přístupu k síti oběti zahájil aktér hrozby fázi průzkumu. Zahrnovalo to získání pověření správce ze serveru, vytvoření mechanismu perzistence prostřednictvím naplánovaných úloh a laterální pohyb po síti pomocí protokolu RDP (Remote Desktop Protocol) přes síťový komunikační protokol SSH. Všechna získaná data by byla archivována pomocí WinRAR a následně exfiltrována.
Aby vymazali stopy své činnosti, spoléhali se hackeři Mementa na nástroj BCWipe společnosti Jetico. V posledním kroku útočníci nasadili hrozbu ransomwaru založenou na Pythonu, která šifruje soubory pomocí kryptografického algoritmu AES. Zde však útočníci narážejí na velký problém, protože bezpečnostní řešení by detekovala proces šifrování a zablokovala jej, aby nezpůsobil žádné škody.
Zdvojnásobení na WinRAR
Kyberzločinci z Mementa se nevzdali a místo toho přešli k používání inovativního řešení. Hackeři zahodili celý šifrovací kód a místo toho jej přepracovali tak, aby nyní vzal soubory oběti, přidal každý z nich do samostatného archivu WinRAR s příponou '.vaultz' a uzamkl jej dostatečně silným heslem. Hesla jsou generována pro každý soubor při jeho archivaci a poté jsou šifrována. Původní soubory mimo archivy WinRAR budou odstraněny.
Podle výkupných vygenerovaných na kompromitovaných systémech chtějí hackeři Memento dostat za odemčení všech postižených souborů celkem 15,95 BTC (Bitcoin) nebo 0,099 BTC za soubor. Při aktuálním směnném kurzu kryptoměny Bitcoin se požadované výkupné rovná 920 000 USD, respektive 5 700 USD.
