HelloXD Ransomware

HelloXD Ransomware është një kërcënim i fuqishëm malware, me kriminelët kibernetikë që e përdorin atë në sulme kundër sistemeve Windows dhe Linux. Malware së pari tërhoqi vëmendjen e studiuesve të sigurisë kibernetike në nëntor 2021 dhe, që atëherë, ai ka qenë vazhdimisht në zhvillim. Disa nga ndryshimet më domethënëse të bëra nga autorët e kërcënimit u detajuan në një raport nga Njësia 42 e Rrjetit Palo Alto.

Sipas studiuesve, HelloXD bazohet në kodin burimor të zbuluar të një kërcënimi tjetër ransomware të quajtur Babuk/Babyk. Mostrat fillestare përdorën një kombinim të Curve25519-Donna dhe një HC-128 të modifikuar si pjesë e procesit të tij të enkriptimit. Sidoqoftë, versionet e mëvonshme shkëmbyen HC-128 për shifrën simetrik më të shpejtë Rabbit. HelloXD gjeneron një ID specifike për çdo sistem të infektuar që viktimat supozohet t'u dërgojnë sulmuesve për të marrë çelësat e duhur të deshifrimit.

Natyrisht, operatorët e kërcënimit janë të gatshëm t'u ofrojnë ndihmë viktimave të tyre vetëm pasi të kenë paguar një shpërblim të madh. Në fakt, për të siguruar që kërkesat e tyre do të plotësohen, hakerët drejtojnë një skemë të zhvatjes së dyfishtë. Në praktikë, kjo do të thotë që të dhënat e pajisjeve të shkelura ekfiltohen në një server të largët përpara se të përfshihet rutina e kriptimit. Ndryshe nga organizatat e tjera kriminale kibernetike, operatorët e HelloXD Ransomware nuk mbajnë një faqe të dedikuar për rrjedhje. Në vend të kësaj, ata udhëzojnë organizatat e ndikuara që të krijojnë komunikim përmes Tox Chat, një klient i bisedës kolegë-to-peer. Hakerët mund të largohen nga kjo sjellje - disa nga shënimet më të fundit të shpërblesës të hedhura nga HelloXD përmbajnë një lidhje me një faqe interneti ende joaktive të organizuar në rrjetin Onion.

Një nga zbulimet më të veçanta të bëra nga kërkuesit e Njësisë 42 është se një mostër e HelloXD hodhi një kërcënim të pasme në pajisjen e infektuar. Backdoor është një version i modifikuar i një vegle me burim të hapur të quajtur MicroBackdoor që është koduar me WinCrypt API. Malware shtesë i lejon aktorët e kërcënimit të manipulojnë sistemin e skedarëve në makinën e dëmtuar, të ngarkojnë skedarë të zgjedhur, të dorëzojnë skedarë ose ngarkesa shtesë dhe të ekzekutojnë ekzekutimin e kodit në distancë (RCE). Malware i prapambetur gjithashtu mund të udhëzohet të hiqet nga pajisja e viktimës.