RansomHouse ја надградува енкрипцијата со повеќеслојна обработка на податоци

RansomHouse ransomware-as-a-service (RaaS) неодамна го надгради својот енкриптор, преминувајќи од релативно едноставна, еднофазна линеарна техника кон посложен, повеќеслоен метод.

Во пракса, овие надградби нудат посилни резултати при енкрипција, поголеми брзини и подобра стабилност во современи целни околини, што им дава на заканувачите поголема предност за време на преговорите по енкрипцијата.

RansomHouse беше лансиран во декември 2021 година како сајбер-криминална операција за изнуда на податоци, а подоцна почна да користи енкриптори во нападите и разви автоматизирана алатка наречена MrAgent за истовремено заклучување на повеќе VMware ESXi хипервизори.

Неодамна беше објавено дека заканувачите користеле повеќе семејства на ransomware во напади против јапонскиот гигант за е-трговија Askul Corporation.

Нов извештај од истражувачите на Palo Alto Networks Unit 42 фрла дополнително светло врз алатките на RansomHouse, вклучувајќи ја и најновата варијанта на енкрипторот, наречена „Mario“.

Новиот енкриптор „Mario“

Најновата варијанта на енкрипторот на RansomHouse преминува од еднопроодна трансформација на податоците во фајловите кон двостепена трансформација што користи два клуча: примарен клуч од 32 бајти и секундарен клуч од 8 бајти.

Овој пристап ја зголемува ентропијата на енкрипцијата и го прави делумното обновување на податоците значително потешко.

Втората голема надградба е воведувањето на нова стратегија за обработка на фајлови која користи динамична големина на сегменти (chunk sizing) со праг од 8GB, заедно со периодична (интермитентна) енкрипција.

Според Unit 42, ова ја прави статичката анализа значително потешка поради нејзината нелинеарност, употребата на сложена математика за одредување на редоследот на обработка и примената на различни пристапи за секој фајл, во зависност од неговата големина.

Друга значајна надградба кај „Mario“ е подобрениот распоред на меморијата и организацијата на баферите, како и зголемената комплексност, при што сега се користат повеќе наменски бафери за секоја фаза или улога во процесот на енкрипција.

Конечно, надградената верзија на енкрипторот сега прикажува многу подетални информации за обработката на фајловите, за разлика од постарите варијанти кои само означуваа дека задачата е завршена.

Поновата варијанта и понатаму ги таргетира VM-фајловите и ги преименува енкриптираните датотеки со екстензијата „.emario“, при што остава и белешка за откуп (ransom note) со наслов „How To Restore Your Files.txt“ во сите погодени директориуми.

Unit 42 заклучува дека надградбата на енкрипцијата кај RansomHouse е загрижувачка, бидејќи сигнализира „вознемирувачка насока во развојот на ransomware“, со што се зголемува сложеноста на декрипцијата и значително се отежнуваат статичката анализа и реверзното инженерство.

RansomHouse е една од подолготрајните RaaS операции, но и понатаму останува на средно ниво според обемот на напади. Континуираниот развој на напредни алатки укажува на пресметана стратегија насочена кон ефикасност и избегнување на детекција, наместо кон масовност.

Извори:

• Bleeping Computer – RansomHouse upgrades encryption with multi-layered data processing Bleeping Computer