Monti Gang lanza ransomware actualizado dirigido a Linux
El grupo de amenazas de ransomware Monti ha reaparecido después de una pausa de dos meses, presentando una nueva versión de su encriptador diseñado para sistemas Linux. El grupo ha cambiado su enfoque hacia los sectores gubernamentales y legales en sus ataques recientes.
Surgido inicialmente en junio de 2022, poco después de que el grupo de ransomware Conti cesara sus operaciones, Monti había estado imitando los métodos y herramientas de Conti, incluso incorporando el código fuente filtrado de Conti. Sin embargo, este patrón ha cambiado con la última versión.
Monti toma una página del libro de Conti
Según Trend Micro, esta nueva variante marca una desviación notable de sus iteraciones anteriores basadas en Linux. A diferencia de la versión anterior, que se basaba en gran medida en el código fuente filtrado de Conti, la versión reciente utiliza un cifrador distinto y muestra nuevos comportamientos, como lo describen los investigadores de Trend Micro, Nathaniel Morales y Joshua Paul Ignacio.
A través de un análisis de BinDiff, se descubrió que mientras que las versiones anteriores mostraban una similitud del 99 % con Conti, la versión actual solo demuestra una similitud del 29 %. Esta drástica disminución de la similitud apunta hacia una revisión sustancial.
Las alteraciones clave incluyen la introducción de un parámetro '--whitelist' para omitir el cifrado de máquinas virtuales específicas, junto con la eliminación de argumentos de línea de comandos como '--size', '--log' y '--vmlist'.
Además, la variante de Linux ha sido diseñada para manipular el archivo motd (mensaje del día) para exhibir la nota de rescate. En lugar de utilizar el cifrado Salsa20, ahora emplea el cifrado AES-256-CTR. Además, el proceso de cifrado ahora depende únicamente del tamaño del archivo. Para elaborar, los archivos de más de 1,048 MB pero de menos de 4,19 MB solo tendrán cifrados los 100,000 bytes iniciales. Por otro lado, los archivos que superen los 4,19 MB tendrán una parte de su contenido bloqueado, dependiendo del resultado de una operación de Desplazamiento a la derecha. Los archivos de menos de 1.048 MB de tamaño se cifrarán por completo.
Los investigadores de Trend Micro sugieren que, si bien es probable que los elementos del código fuente de Conti sirvan como base para esta nueva variante de Monti, se han introducido modificaciones significativas en el código, particularmente en lo que respecta al algoritmo de cifrado.
