Scoperta una variante del ransomware Mallox basata su Kryptina

Set 25, 2024 Marina Londei Attacchi, In evidenza, Malware, Minacce, News, Ransomware, RSS 0

---

I ricercatori di SentinelLabs di SentinelOne hanno scoperto una nuova variante del ransomware Mallox che usa una versione modificata del ransomware Kryptina per attaccare i sistemi Linux.

Mallox, del gruppo TargetCompany, è un ransomware-as-a-service (RaaS) in uso dal 2021 che viene usato ancora oggi da numerosi affiliati. Anche Kryptina è una piattaforma RaaS, anche se più recente di Mallox, e offre funzionalità per automatizzare payload, gestire più gruppi e campagne e configurare i requisiti di pagamento del riscatto, come la somma e il tipo di pagamento accettato.

Nonostante le feature, Kryptina non ha ricevuto l’attenzione che sperava dal mondo del cybercrimine, al punto che l’ideatore della piattaforma ha deciso di smettere di venderla e di pubblicarne il codice sorgente. In seguito, lo scorso maggio, i ricercatori di SentinelLabs hanno individuato un server di staging di un affiliato di Mallox che conteneva tutti i file sorgente di Kryptina, anche se modificati per supportare una nuova variante del ransomware.

“L’uso di Kryptina da parte di questo affiliato sembra essere singolare: le altre varianti Linux di Mallox non sono basate su Kryptina, complicando ulteriormente la relazione tra Kryptina e Mallox” spiegano i ricercatori di SentinelLabs.

Il nuovo ransomware, soprannominato “Mallox Linux 1.0”, usa le stesse routine di cifratura e decifratura di Kryptina e il template delle due note di riscatto è molto simile. A parte per i commenti modificati e la rimozione di qualsiasi riferimento ai creatori di Kryptina, il codice sorgente dei due ransomware è praticamente lo stesso.

Sul server i ricercatori hanno anche trovato delle cartelle relative a 14 potenziali vittime del ransomware. Alcune cartelle contenevano tool per la cifratura e decifratura dei file, mentre altre erano vuote: è probabile che si riferissero a vittime già designate ma non ancora colpite.

Il server conteneva inoltre KLAPR.BAT, un tool usato per neutralizzare la protezione dei prodotti di Kaspersky quando necessario, un exploit per sfruttare una vulnerabilità di privilege escalation in Windows 10 e 11 (CVE-2024-21338), numerosi dropper per Mallox (per Windows) e vari altri dropper e payload malevoli.

Secondo i ricercatori di SentinelOne, la presenza di una variante di Mallox derivata da Kryptina è indicativa di come il panorama dei ransomware stia diventando sempre più complesso, evolvendosi in un mix di toolset e codice ormai non più lineari. “L’adozione di Kryptina da un affiliato attivo di Mallox rappresenta una sorta di ‘evoluzione’ del malware. Ancora più importante, dimostra il diffuso trend della mercificazione dei ransomware“.

Visto che il codice sorgente di Kryptina è di dominio pubblico per i cybercriminali, è probabile che emergano nuove varianti basate su questo RaaS. La crescente complessità del panorama delle minacce richiede alle aziende di implementare soluzioni di protezione robuste, effettuare backup regolari e istruire i dipendenti sulle buone pratiche di sicurezza.

---

• Kryptina, Linux, Mallox, Ransomware, ransomware-as-a-service, variante ransomware

---

---