Conti Ransomware Group Leak erweitert sich
Vor ein paar Tagen haben wir über das Leck der persönlichen Kommunikation zwischen Mitgliedern der Conti-Ransomware-Gang berichtet. Der ursprüngliche Vorfall wurde von der Conti-Bande angespornt, die einen vehementen pro-russischen Post auf ihrer Website erstellte und ihre unerschütterliche Unterstützung für Russland bei der andauernden ukrainischen Invasion erklärte. Jetzt hat dieselbe Person, die das erste Leck gestartet hat, viel mehr Informationen bereitgestellt, darunter ein Entschlüsselungstool und Quellcode für bösartige Tools.
Conti-Leck wird mit neuen Informationen und Quellcode erweitert
Ein ukrainisches Mitglied der Conti-Ransomware-Bande trat vor ein paar Tagen auf, verärgert über die offizielle Haltung der Gruppe zum Krieg in der Ukraine, und ließ viele Seiten voller .json-formatierter Kommunikation zwischen Mitgliedern der Ransomware-Gruppe durchsickern. Zusammen mit dem anfänglichen Dump versprach dasselbe Mitglied, dass noch mehr kommen würde, und er hielt sein Versprechen.
Die neuen Leaks werden über vx-underground veröffentlicht – ein Portal, das Quellcode, Muster und Informationen zu Malware sammelt. Der zweite Info-Dump von geleakten Conti und verwandten Dateien enthält den Admin-Panel-Code der Plattform, die Conti verwendet. Ein kurzer Blick zeigt, dass das Admin-Panel auf einer Open-Source-Lösung basiert.
Es gibt auch zahlreiche neue Informationen über die Taktiken, Techniken und Vorgehensweisen der Gruppe, darunter Informationen zur Active-Directory-Aufzählung, zum Erstellen von NTDS-Dumps über Vssadmin und Details zur Verwendung von Tools wie Cobalt Strike, ShareFinder und AnyDesk.
Der Quellcode der Ransomware Conti v2 und ihr Entschlüsseler waren ebenfalls in dem Leak enthalten. Trotz dieser Tatsache wiederholten die Forscher, dass dies nicht die aktuellste Version des Ransomware-Toolkits ist und der Entschlüsseler für Opfer, die kürzlich von Conti infiziert wurden, nicht von Nutzen sein wird.
Decryptor nicht nützlich für aktuelle Opfer
Der durchgesickerte Conti-Dump enthält auch Video-Tutorials, die auf Russisch aufgezeichnet wurden und potenzielle Mitglieder und Partner in verschiedenen Techniken wie der Verwendung von Cobalt Strike, der Verwendung von PowerShell für Penetrationstests und Reverse-Engineering-Anwendungen anleiten.
Eine Menge Informationen zu TrickBot sind auch im zweiten Conti-Info-Leck enthalten. Dazu gehört nicht nur ein Quellcode eines TrickBot-Releases, sondern auch Informationen über Methoden beim Einsatz der Malware sowie Besonderheiten und geteiltes Know-how zwischen Gangmitgliedern.
Trotz der Fülle an Informationen zitierte Threatpost einen Sicherheitsforscher von Advanced Intelligence, der erklärte, dass das Leck die Conti-Gruppe nicht so stark beeinträchtigen würde, wie manche hoffen. Die durchgesickerten Informationen betrafen nur eine der sechs Personen innerhalb der Bande und es war nicht die zentrale und wichtigste. Die Ransomware-Bande hat Berichten zufolge auch ihre Operationen wieder aufgenommen und zieht weiter.
