Mount Locker Ransomware se está volviendo más peligroso

Los investigadores de seguridad informan que el ransomware Mount Locker está ampliando su arsenal con herramientas nuevas y peligrosas. El ransomware que se conoce con el nombre de Mount Locker ha existido y en estado salvaje desde hace un tiempo, primero en los titulares en septiembre de 2020. El perro viejo está aprendiendo nuevos trucos, al parecer, y se está renovando un poco, ahora lo intenta para cambiar su nombre como AstroLocker.

Las nuevas campañas que utilizan Mount Locker han mostrado las características actualizadas y más avanzadas del ransomware, que incluyen secuencias de comandos mejoradas y capacidades superiores anti-prevención. Simultáneamente con la expansión de sus funciones, Mount Locker ahora también aparece bajo el nuevo nombre de AstroLocker.

Después de su detección inicial en la naturaleza en septiembre, el ransomware recibió una actualización significativa un par de meses después, principalmente dirigida a las capacidades de focalización del ransomware.

Los investigadores de GuidePoint Security están llamando a esta última actualización de abril un "cambio agresivo" en la forma en que funciona Mount Locker.

Mount Locker abusa de software y aplicaciones legítimos para lograr sus objetivos. Entre ellos se incluyen una herramienta de visualización de directorios y un cliente sustituto para Telnet.

Una vez que Mount Locker se ha abierto camino en el sistema de la víctima, primero se ocupa de las copias de seguridad para evitar la recuperación de datos, luego se comunica con su servidor C2 para entregar la carga útil de cifrado, personalizada para cada víctima.

La forma en que Mount Locker está tratando de evitar ciertas capas de detección en su nueva campaña es mediante el uso de scripts por lotes. Esos scripts están diseñados de una manera que tiene como objetivo cerrar cualquier herramienta y entorno que pueda detectar el ransomware o evitar su ejecución.

La parte más preocupante de esto es que los nuevos scripts por lotes no son herramientas únicas para todos. Siempre están hechos a medida para apuntar al entorno de red específico de la víctima.

Los actores de amenazas detrás de los recientes ataques de Mount Locker también han estado utilizando varios servidores CobaltStrike, cada uno con su propio dominio único, lo que dificulta aún más la detección. Según GuidePoint, este enfoque no es particularmente común porque la cantidad de trabajo involucrado para hacer que todo haga clic es significativa.

Muchos de los ataques recientes con Mount Locker han estado dirigidos a la biotecnología. Este sector es particularmente lucrativo para los piratas informáticos debido a la información altamente confidencial que podrían robar.

GuidePoint también cree que hay un impulso orquestado para cambiar el nombre de la nueva versión más avanzada de Mount Locker bajo el nombre de AstroLocker. En el caso de Mount Locker, que se ejecuta como operación de ransomware como servicio, esto tendría mucho sentido.