Conti Ransomware Group-lekkasje utvides
For noen dager siden dekket vi lekkasjen av den personlige kommunikasjonen mellom medlemmer av Conti-ransomware-gjengen. Den opprinnelige hendelsen ble ansporet til av Conti-gjengen som gjorde et heftig pro-russisk innlegg på nettstedet deres og erklærte sin urokkelige støtte til Russland i den pågående ukrainske invasjonen. Nå har den samme personen som startet den første lekkasjen gitt mye mer informasjon, inkludert et dekrypteringsverktøy og kildekode for ondsinnede verktøy.
Conti-lekkasje utvides med ny info, kildekode
Et ukrainsk medlem av Conti ransomware-gjengen rykket opp for noen dager siden, misfornøyd over gruppens offisielle holdning til krigen i Ukraina, og lekket mange sider verdt med .json-formatert kommunikasjon mellom medlemmer av løsepengevare-antrekket. Sammen med den første dumpingen lovet det samme medlemmet at det ville komme mer, og han holdt løftet.
De nye lekkasjene publiseres gjennom vx-underground - en portal som samler inn kildekode, prøver og informasjon om skadelig programvare. Den andre infodumpen av lekkede Conti og relaterte filer inkluderer admin panelkoden til plattformen Conti bruker. Et raskt blikk indikerer at administrasjonspanelet er basert på en åpen kildekode-løsning.
Det er også rikelig med ny informasjon om gruppens taktikk, teknikker og prosedyrer, inkludert informasjon om aktiv katalogoppregning, opprettelse av NTDS-dumper via Vssadmin, og detaljer om bruk av verktøy inkludert Cobalt Strike, ShareFinder og AnyDesk.
Kildekoden til Conti v2-ransomware og dens dekryptering var også inneholdt i lekkasjen. Til tross for dette, gjentok forskere at dette ikke er den nyeste versjonen av løsepengevareverktøysettet, og dekrypteringen vil ikke være til nytte for ofre som nylig ble infisert av Conti.
Dekryptering er ikke nyttig for nåværende ofre
Inkludert i den lekkede Conti-dumpen er også videoopplæringer tatt opp på russisk, som instruerer fremtidige medlemmer og tilknyttede selskaper om ulike teknikker som bruk av Cobalt Strike, bruk av PowerShell for penetrasjonstesting og reverse engineering-applikasjoner.
En mengde informasjon om TrickBot er også inkludert i den andre Conti-infolekkasjen. Dette inkluderer ikke bare en kildekode for en TrickBot-utgivelse, men også informasjon om metoder som brukes ved bruk av skadelig programvare og detaljer og delt kunnskap mellom gjengmedlemmer.
Til tross for overflod av informasjon, siterte Threatpost en sikkerhetsforsker med Advanced Intelligence, som uttalte at lekkasjen ikke ville påvirke Conti-gruppen så mye som noen kanskje håper. Den lekkede informasjonen gjaldt bare ett av de seks likene av personer i gjengen, og det var ikke det sentrale og viktigste. Ransomware-gjengen skal også ha relansert sin virksomhet og går videre.
