DECAF Ransomware

DECAF Ransomware visar den växande trenden bland cyberkriminella att gå bort från de typiska programmeringsspråken till förmån för mindre populära eller exotiska val. Målet är att öka chanserna för deras hotfulla skapelser för att undvika att upptäckas av anti-malware och cybersäkerhetslösningar. Ett av de framväxande valen i hotlandskapet, och det som används i skapandet av DECAF är Go, ett öppen källkod, objektorienterat och plattformsoberoende språk. Andra ransomware-hot som också skrevs med Go är Babuk, HelloKitty och Hive.

Skadlig funktionalitet

När DECAF Ransomware distribueras på de komprometterade systemen, kommer DECAF Ransomware att initiera sin krypteringsprocess som kommer att låsa offrets data. Hotet är beroende av en filfiltreringsmekanism för att undvika att orsaka irreparabel skada på operativsystemet eller dubbelkryptera filerav misstag. Som sådan skannar den och ignorerar sedan alla filer som har filtillägget '.decaf', som heter README.txt, eller som matchar en inbäddad lista med filer, mappar och tillägg som valts av angriparna.

Efter att den krypterade kopian av varje målfil har skapats måste originalet raderas från systemet. För att säkerställa att offren inte kommer att kunna återställa originalen använder DECAF cipher.exe, som anropas för varje katalog och har till uppgift att skriva över raderade data där. Lösenedeln för hotet släpps som en README.txt-fil och en kopia kommer att placeras i varje mapp som innehåller de krypterade filerna.

Under Aktiv utveckling

Enligt infosec-experter utvecklas fortfarande DECAF Ransomwaresnabbt med cyberbrottslingar som lägger till fler funktioner och antidetekteringstekniker. Ändringarna kan tydligt ses genom att jämföra den initiala felsökningsversionen som fångades av DECAF:s pre-release-version. Angriparna gjorde att hotets komplexitet ökade genom att lägga till strängobfuskation. De dolda strängarna de-obfuskeras via olika anpassade funktioner under körning. Flera nya DECAF-versioner har redan observerats cirkulera i naturen. För att skydda sin kritiska infrastruktur måste företag anpassa sina cybersäkerhetspolicyer för att ta hänsyn till hotaktörernas skiftande attackmönster.