A Gangue do Dridex Retorna com o WastedLocker Ransomware

O anel cibercriminoso conhecido pelos nomes de Dridex Gang e Evil Corp está retornando em meados de 2020. A gangue de malware da Europa Oriental ganhou destaque alguns anos atrás, com o lançamento do Trojan Cridex. A primeira evolução desse malware foi o infame Trojan Bancário Dridex, que também deu ao grupo um de seus nomes. O Dridex, por sua vez, evoluiu para uma ferramenta múltipla de malware com todos os recursos que foi usada em vários ataques.

Depois que dois dos membros da gangue do Dridex foram acusados pelo Departamento de Justiça dos EUA no final de 2019, o grupo saiu do radar por um longo tempo. Para uma organização tão prolífica e ativa quanto a Evil Corp, que também administrava uma das maiores redes de bots e participou da disseminação do famoso malware Locky, ficou claro que era uma questão de tempo até que os criminosos voltassem a aparecer.

Após um breve momento de atividade discreta no início de 2020, a gangue ficou adormecida por mais alguns meses. No entanto, agora eles estão de volta e ostentando uma variedade completamente nova de ransomware.

Em meados de 2020, a gangue do Dridex voltou com o chamado WastedLocker Ransomware. O nome foi escolhido pelos especialistas em segurança, pois o malware adiciona a extensão .wasted aos arquivos criptografados. A análise do código revelou que há muito pouco código reutilizado ou semelhante das linhagens existentes contidas no WastedLocker, mas há algumas semelhanças óbvias com os ransomwares existentes em sua nota de resgate.

O novo WastedLocker foi usado exclusivamente contra empresas norte-americanas e os pedidos de resgate são enormes, atingindo somas próximas de US $10 milhões. Os pesquisadores também observaram um fato curioso sobre o WastedLocker - ele não tinha capacidade roubar dados. A capacidade de coletar informações confidenciais da rede de uma vítima está presente em uma parte considerável das variedades de ransomware nos últimos dois anos. No entanto, o WastedLocker está ausente desse módulo, o que significa que os seus autores não desejam passar pela etapa extra de ameaçar vendê-lo on-line ou estão tão confiantes nas capacidades de seu malware que dependem apenas dos pagamentos de resgate.

Ainda não se sabe se a Evil Corp está voltando com força total ou apenas testando as águas com esse novo ransomware.