La fuga del grupo Conti Ransomware se expande

Hace unos días, cubrimos la filtración de la comunicación personal entre miembros de la pandilla del ransomware Conti. El incidente original fue provocado por la pandilla Conti que hizo una publicación vehemente prorrusa en su sitio y declaró su apoyo inquebrantable a Rusia en la invasión de Ucrania en curso. Ahora, la misma persona que inició la fuga inicial ha proporcionado mucha más información, incluida una herramienta de descifrado y el código fuente de las herramientas maliciosas.

La fuga de Conti se expande con nueva información, código fuente

Un miembro ucraniano de la banda de ransomware Conti dio un paso al frente hace unos días, descontento por la postura oficial del grupo sobre la guerra en Ucrania, y filtró muchas páginas de comunicación en formato .json entre los miembros de la organización de ransomware. Junto con el volcado inicial, el mismo miembro prometió que vendrían más y cumplió su promesa.

Las nuevas filtraciones se publican a través de vx-underground, un portal que recopila código fuente, muestras e información sobre malware. El segundo volcado de información de Conti filtrado y archivos relacionados incluye el código del panel de administración de la plataforma que usa Conti. Un vistazo rápido indica que el panel de administración se basa en una solución de código abierto.

También hay abundante información nueva sobre las tácticas, técnicas y procedimientos del grupo, incluida información sobre la enumeración del directorio activo, la creación de volcados de NTDS a través de Vssadmin y detalles sobre el uso de herramientas como Cobalt Strike, ShareFinder y AnyDesk.

El código fuente del ransomware Conti v2 y su descifrador también estaban contenidos en la fuga. A pesar de este hecho, los investigadores reiteraron que esta no es la versión más actual del kit de herramientas de ransomware y que el descifrador no será útil para las víctimas que fueron infectadas recientemente por Conti.

Decryptor no es útil para las víctimas actuales

En el volcado de Conti filtrado también se encuentran tutoriales en video grabados en ruso, que instruyen a los posibles miembros y afiliados sobre diversas técnicas, como el uso de Cobalt Strike, el uso de PowerShell para pruebas de penetración y aplicaciones de ingeniería inversa.

Una gran cantidad de información sobre TrickBot también se incluye en la segunda fuga de información de Conti. Esto incluye no solo un código fuente de un lanzamiento de TrickBot, sino también información sobre los métodos utilizados al emplear el malware y los detalles y el conocimiento compartido entre los pandilleros.

A pesar de la abundancia de información, Threatpost citó a un investigador de seguridad de Advanced Intelligence, quien afirmó que la filtración no afectaría al grupo Conti tanto como algunos podrían esperar. La información filtrada se refería solo a uno de los seis cuerpos de personas dentro de la pandilla y no era el central y más importante. Según los informes, la banda de ransomware también ha relanzado sus operaciones y sigue adelante.