Smutek Ransomware

Grief Ransomware to nowo powstała grupa hakerów działająca w systemie RaaS (Ransomware-as-a-Service). Pomimo aktywności zaledwie od kilku miesięcy cyberprzestępcom udało się zebrać ponad 20 ofiar. Liczba jest oparta na plikach przesłanych na stronę wycieku danych Grief Ransomware. Jedną z potencjalnych ofiar wydaje się być greckie miasto Saloniki, a hakerzy publikują jako dowód plik archiwalny. Gwałtowna aktywność pokazuje, że grupa Grief Ransomware składa się z doświadczonych operatorów z powiązaniami w podziemnym świecie hakerów. Rzeczywiście, badacze infosec znaleźli przekonujące dowody na to, że Grief jest kontynuacją DoppelPaymer , oprogramowania ransomware, które ostatnio stało się ciemne.

Grief Ransomware może być rebrandingiem DoppelPaymer

DoppelPaymer zamknął swoją działalność w następstwie masowych ataków ransomware, które wstrząsnęły wszystkimi – REvil naraził firmę Kaseya zajmującą się zarządzaniem IT i zdalnym monitorowaniem oraz dostawcę mięsa JBs, podczas gdy DarkSide zakłócił działanie Colonial Pipeline. Aby uniknąć niechcianej kontroli, kilka forów hakerskich postanowiło zakazać wszelkich tematów dotyczących potencjalnych operacji RaaS.

Nakładanie się Grief i DoppelPaymer jest zbyt liczne i zbyt znaczące, aby można je było wyjaśnić zwykłymi zbiegami okoliczności. Obie grupy wykorzystują botnet Dridex do dystrybucji swoich ładunków ransomware, które z kolei wykorzystują ten sam zaszyfrowany format plików. We wczesnych dniach Grief kilka próbek ładunku zawierało żądanie okupu, które dość ciekawie wskazywało potencjalne ofiary na portal DopplePaymer. Dalsze podobieństwa można odkryć porównując miejsca wycieku danych obu strojów.

Sprawy stają się jeszcze bardziej jasne, gdy weźmiesz pod uwagę charakterystykę ładunków ransomware grup. Oba zagrożenia wykorzystują algorytmy szyfrowania RSA-2048 i AES-256, mają takie samo hashowanie importu i identyczne obliczanie przesunięcia punktu wejścia. Z drugiej strony, wszystkie widoczne obecnie różnice to nic innego jak kosmetyka.