O WastedLocker Ransomware Agora Atinge Funcionários que Trabalham em Casa
Um novo golpe de malware veio à tona, desta vez feito sob medida para atingir trabalhadores domésticos em particular. Não é surpreendente se você considerar que quase 2/3 de todos os funcionários dos EUA estão atualmente presos em casa fazendo um trabalho distante devido à pandemia do Covid-19 em andamento. Agora, milhões de funcionários domésticos enfrentam uma ameaça sórdida de ransomware chamada WastedLocker. Associado à cybergang do Evil Corp, o Wasted Locker atingiu dezenas de empresas até o momento e agora está atingindo usuários de PCs domésticos conectados por VPN.
Infecção Multinível por Meio de uma Estrutura JavaScript
Para plantar uma infecção do WastedLocker Tansomware em um dispositivo visado, os autores responsáveis precisam redirecionar os usuários da Web para um site comprometido que contém o chamado SocGholish - um framework JavaScript repleto de código malicioso - geralmente disfarçado como uma atualização de software falsa em um arquivo .zip. Uma vez executado, o SocGholish JavaScript inicia outro componente JS por meio do host de script wscript.exe para reunir detalhes sobre o PC. Em seguida, ele implanta o PowerShell para baixar a ferramenta Cobalt Strike junto com um injetor .NET. O primeiro fornece acesso não autorizado ao sistema. O último é capaz de executar cargas maliciosas diretamente na memória do sistema, evitando assim a proteção do endpoint. Em última análise, as duas ferramentas fornecem a carga útil do Cobalt Strike Beacon. O Beacon serve como o painel de operação principal para quaisquer outras injeções de código, execuções de comando e escalonamentos de privilégios.
Esta Semana em Malware Episódio 13, Parte 1: Hackers da Evil Corp Impedidos de Implantar o WastedLocker Ransomware
Antes de disparar a infecção real do WastedLocker Ransomware, os criminosos alteram as configurações do Windows Defender para impedir que ele execute verificações e monitoramento em tempo real. Em seguida, eles implantam a ferramenta de linha de comando PsExec para executar a própria carga útil do WastedLocker.
Encriptação
Uma vez executado, o WastedLocker começa a criptografar os dados da vítima. Ele também remove todas as Cópias do Shadow Volume presentes no sistema. No final, o ataque prejudica a rede do usuário e causa graves impedimentos ao fluxo de trabalho. Enquanto o valor exato do resgate exigido permanece desconhecido, os criminosos da Evil Corp supostamente ganharam milhões de dólares. Eles fizeram isso concentrando seus esforços para comprometer sites pertencentes a grandes corporações em todo o espectro de negócios nos EUA. Até agora, as empresas visadas com mais frequência vêm da indústria de manufatura, seguida pela esfera de TI e Mídia e Telecomunicações.