Knight Ransomware dà a Ciclope una nuova mano di vernice

Il ransomware Cyclops ha subito un rebranding e ora si chiama Knight ransomware. Questa classificazione del malware è progettata con l'intenzione di crittografare i file e successivamente richiedere un riscatto per la decrittazione di tali file.

Dopo aver eseguito un campione di ransomware Knight sul nostro sistema di test, ha avviato il processo di crittografia dei file e ha aggiunto un'estensione ".knight_l" ai loro nomi di file originali. Ad esempio, un file inizialmente etichettato come "1.jpg" verrebbe trasformato in "1.jpg.knight_l" e "2.png" diventerebbe "2.png.knight_l" e così via. Inoltre, una nota di riscatto intitolata "Come ripristinare i tuoi file.txt" è stata inserita in ogni cartella contenente file crittografati sul sistema.

È importante notare che il gruppo dietro Knight lo gestisce come Ransomware-as-a-Service e questi attori delle minacce forniscono anche malware progettato per rubare informazioni. Di conseguenza, esiste la possibilità che questi attacchi ransomware implichino un componente di doppia estorsione. La variante che abbiamo esaminato menzionava l'utilizzo di tali strategie.

La nota di riscatto associata a Knight ransomware notifica alla vittima che i suoi file e documenti aziendali sono stati crittografati. Secondo il messaggio, l'unico mezzo fattibile per il recupero dei dati è effettuare un pagamento agli aggressori. L'importo del riscatto specificato è di 5000 USD sotto forma di criptovaluta Bitcoin e questa richiesta non è negoziabile.

Una volta completato il pagamento, alla vittima viene chiesto di stabilire un contatto con i cybercriminali e di fornire le prove della transazione. Inoltre, il messaggio contiene una dichiarazione cautelativa secondo cui il mancato rispetto delle richieste di riscatto entro un periodo di quattro giorni comporterà la vendita di informazioni relative all'attività rubate dal sistema compromesso.

La nota di riscatto del cavaliere richiede $ 5000 in Bitcoin

Il testo completo della richiesta di riscatto di Knight recita come segue:

All your documents, company files, images, etc (and there are a lot of company data) have been encrypted and the extension has been changed to .knight_l .

The recovery is only possible with our help.

US $5000 in Bitcoin is the price for restoring all of your data. This is the average monthly wage for 1 employee in your company. So don't even think about negotiating. That would only be a waste of time and you will be ignored.

Send the Bitcoin to this wallet:14JJfrWQbud8c8KECHyc9jM6dammyjUb3Z (This is your only payment address, please don't pay BTC to other than this or you won't be able to get it decrypted!)

After completing the Bitcoin transaction, send an email at: - (Download and install TOR Browser (hxxps://www.torproject.org/).[If you don't know how to use it, do a Google search!]).You will get an answer as soon as possible.

I expect a message from you with the transfer of BTC Confirmation (TXID). So we can move forward to decrypt all your data. TXID is very important because it will help us identify your payment and connect it to your encrypted data.Do not use that I am here to waste mine or your time.

How to buy the BTC?

hxxps://www.binance.com/en/how-to-buy/bitcoin

hxxps://www.coinbase.com/how-to-buy/bitcoin

Note:

Your data are uploaded to our servers before being encrypted,

Everything related to your business (customer data, POS Data, documents related to your orders and delivery, and others).

If you do not contact us and do not confirm the payment within 4 days, we will move forward and will announce the sales of the extracted data.

ID: -

Perché gli attori del ransomware rinominano il proprio malware?

Gli attori del ransomware spesso rinominano il loro malware per diversi motivi strategici:

• Evasione del rilevamento: i ricercatori di sicurezza e il software antivirus lavorano costantemente per identificare e neutralizzare i ceppi di ransomware noti. Con il rebranding, gli autori di ransomware possono eludere il rilevamento mascherando temporaneamente la loro attività con un nuovo nome. Ciò consente loro di sfruttare le lacune di sicurezza e guadagnare tempo per infiltrarsi nei sistemi prima che le misure di sicurezza raggiungano il livello.
• Nuovo approccio: il rebranding offre agli attori del ransomware l'opportunità di adottare nuove tattiche, tecniche e procedure (TTP). Potrebbero modificare i metodi di crittografia, i meccanismi di pagamento o persino introdurre nuovi vettori di attacco. Questo nuovo approccio può cogliere alla sprovvista le vittime e i professionisti della sicurezza, aumentando la probabilità di attacchi riusciti.
• Evitare la notorietà: i famigerati ceppi di ransomware spesso attirano maggiore attenzione da parte delle forze dell'ordine, delle società di sicurezza e dei media. Il rebranding consente agli operatori di ransomware di liberarsi della notorietà associata ai loro attacchi precedenti e ricominciare da capo con una tabula rasa.
• Depistaggio: utilizzando un nuovo nome, gli attori del ransomware possono guidare gli investigatori e gli esperti di sicurezza informatica in un inseguimento selvaggio, distogliendo le risorse dal tracciamento delle loro operazioni effettive. Questa direzione errata può rendere più difficile per i difensori attribuire con precisione gli attacchi a gruppi specifici.
• Confusione e disordine: un nuovo nome può creare confusione nella comunità della sicurezza informatica. Gli analisti potrebbero inizialmente considerare il ransomware rinominato come una minaccia completamente nuova, ritardando una risposta completa e dando agli aggressori il tempo di infliggere danni.
• Ricostruire la fiducia: se un particolare ceppo di ransomware si è guadagnato la reputazione di non fornire chiavi di decrittazione anche dopo il pagamento, il rebranding può aiutare gli aggressori a sembrare più affidabili. Le vittime possono credere che questo "nuovo" gruppo onorerà la fine dell'accordo di riscatto.
• Modifica degli obiettivi: gli attori del ransomware possono decidere di spostare la propria attenzione da un settore o da un settore all'altro. Il rebranding può aiutare a creare una nuova immagine che si allinei meglio con il pubblico di destinazione desiderato.