GoodWill Ransomware próbuje grać w Robin Hood

GoodWill to stosunkowo nowy szczep ransomware analizowany przez badaczy bezpieczeństwa za pomocą CloudSEK.

Tym, co szczególnie odróżnia GoodWill od większości innych klonów oprogramowania ransomware i większych rodzin, jest informacja o okupie i rzekoma motywacja operatora oprogramowania ransomware. GoodWill robi wszystko, co w jego mocy, aby przekonać ofiary i cały świat, że stojąca za nią grupa nie jest bandą cyberprzestępców, ale dobroczyńcami i orędownikami szlachetnych spraw. Oczywiście jest to trudne, gdy używasz taktyk cyberwymuszeń.

GoodWill zawiera zaskakująco długą notatkę z żądaniem okupu, sugerującą, że ofiara złośliwego oprogramowania powinna dokonywać dziwnych aktów dobroczynności. Pierwsza strona wzywa do „dostarczenia nowych ubrań/koców potrzebującym”, a nawet „nakręcenia filmu z tego wydarzenia”. Drugim „dobrym uczynkiem” jest zabranie biednych dzieci „z sąsiedztwa” i zabranie ich na pizzę, aby „były szczęśliwe”. Trzecia strona prosi ofiarę ransomware o udanie się do szpitala i pomoc ludziom, którzy potrzebują pieniędzy na leczenie.

Te niezwykle nietypowe żądania są tym, czego hakerzy oczekują, aby wysłać klucz deszyfrujący.

Od strony technicznej GoodWill szyfruje pliki za pomocą AES. Oprogramowanie ransomware jest pisane i kompilowane przy użyciu platformy .NET, a następnie pakowane przy użyciu narzędzi pakujących UPX.

Po uruchomieniu oprogramowanie ransomware śpi przez ponad 10 minut, próbując uniknąć analizy dynamicznej. Badanie przeprowadzone przez CloudSEK wskazuje na znaczne nakładanie się GoodWill i ransomware HiddenTear, które otrzymały swój kod koncepcyjny przesłany publicznie online.