MortalKombat Ransomware har bånd til Xorist

Fra desember 2022 har forskere med Cisco Talos overvåket en ukjent enhet som har brukt to deler av nylig oppdaget ondsinnet programvare - MortalKombat løsepengeprogramvare og en GO-variant av Laplas Clipper malware - for å stjele kryptovaluta fra ofrene.

Angriperne ble sett skanne internett etter sårbare maskiner med en eksponert eksternt skrivebordsprotokoll på port 3389, ved å bruke en nedlastingsserver som kjører en RDP-søkerobot og som også forenkler MortalKombat-ransomware. Basert på analysen av koden, klassenavnet og registernøkkelstrengene, mener Talos at MortalKombat løsepengeprogramvare er en del av Xorist-familien.

Angriperne har rettet seg mot enkeltpersoner, små og store bedrifter og krevd løsepenger i kryptovaluta, noe som gir dem flere fordeler, som anonymitet, desentralisering og mangel på regulering, noe som gjør det vanskelig å spore dem. Talos foreslår at brukere og organisasjoner bør være forsiktige mens de utfører kryptovalutatransaksjoner og ta hensyn til mottakerens lommebokadresse.

Den anbefaler også å oppdatere datamaskiner med de nyeste sikkerhetsoppdateringene, distribuere robuste endepunktbeskyttelsesløsninger med atferdsdeteksjonsfunksjoner, og holde testede offline sikkerhetskopieringsløsninger for endepunkter med en rimelig gjenopprettingstid i tilfelle løsepengevareangrep.

MortalKombat infeksjonskjede

I denne spesielle kampanjen brukes en phishing-e-post som den første infeksjonsvektoren, som utløser en kompleks angrepskjede der angriperen distribuerer enten løsepengeprogramvare eller skadelig programvare, og deretter fjerner alle spor av ondsinnet aktivitet for å unngå oppdagelse og analyse.

Phishing-e-posten inneholder en ondsinnet ZIP-fil som inkluderer et BAT-lasterskript. Når offeret kjører skriptet, laster det ned en annen skadelig ZIP-fil fra en server kontrollert av angriperen, pakker den ut automatisk og kjører nyttelasten, som kan være enten GO-varianten av Laplas Clipper malware eller MortalKombat løsepengeprogramvare. BAT-lasterskriptet kjører den tapte nyttelasten på offerets datamaskin og eliminerer deretter alle spor av de nedlastede og droppede ondsinnede filene, og etterlater ingen bevis for infeksjonen.

Den primære metoden for infeksjon for dette angrepet er gjennom en phishing-e-post, der gjerningsmennene utgir seg for å være CoinPayments, en legitim betalingsgateway for kryptovaluta. De bruker en forfalsket e-postadresse, "noreply at CoinPayments dot net," og emnet for e-posten er "[CoinPayments dot net] Payment Timeout." E-posten inneholder også et ondsinnet ZIP-filvedlegg med et filnavn som ligner på en transaksjons-ID som er referert til i e-postens innhold, noe som får mottakeren til å tro at den er ekte. Vedlegget inneholder en skadelig BAT-laster, som aktiveres når brukeren pakker ut filen for å se innholdet.

Hvordan kan du beskytte systemet ditt mot ransomware-angrep?

Ransomware-angrep kan være ødeleggende, noe som resulterer i tap av sensitive data og en betydelig økonomisk kostnad. For å beskytte systemet ditt mot ransomware-angrep, kan du følge disse trinnene:

• Sikkerhetskopier dataene dine: Sikkerhetskopier dataene dine regelmessig til en frakoblet enhet, for eksempel en ekstern harddisk, og test sikkerhetskopien for å sikre at den fungerer som den skal.
• Hold programvaren oppdatert: Installer sikkerhetsoppdateringer og oppdateringer for operativsystemet og programvareapplikasjonene så snart de blir tilgjengelige.
• Bruk antivirusprogramvare: Installer og oppdater regelmessig antivirusprogramvare for å oppdage og fjerne skadelig programvare som kan finnes på systemet ditt.
• Vær forsiktig når du åpner e-postvedlegg: Ikke åpne e-postvedlegg fra ukjente avsendere eller de du ikke hadde forventet.
• Bruk sterke passord: Bruk unike, sterke passord for alle kontoer og endre dem regelmessig.
• Aktiver tofaktorautentisering: Aktiver tofaktorautentisering på alle kontoer som tilbyr det for et ekstra lag med sikkerhet.
• Vær forsiktig med mistenkelige koblinger: Ikke klikk på lenker fra upålitelige kilder, spesielt de som sendes i e-post eller tekstmeldinger.