MortalKombat Ransomware har kopplingar till Xorist

Från och med december 2022 har forskare med Cisco Talos övervakat en okänd enhet som har använt två delar av nyligen upptäckt skadlig programvara - MortalKombat ransomware och en GO-variant av Laplas Clipper malware - för att stjäla kryptovaluta från dess offer.

Angriparna sågs skanna internet efter sårbara maskiner med ett exponerat protokoll för fjärrskrivbord på port 3389, med hjälp av en nedladdningsserver som kör en RDP-crawler och som också underlättar MortalKombat ransomware. Baserat på analysen av koden, klassnamnet och registernyckelsträngarna, tror Talos att MortalKombat ransomware är en del av Xorist-familjen.

Angriparna har riktat in sig på individer, små och stora företag och krävt lösensumma i kryptovaluta, vilket ger dem flera fördelar, såsom anonymitet, decentralisering och bristande reglering, vilket gör det svårt att spåra dem. Talos föreslår att användare och organisationer bör vara försiktiga när de utför kryptovalutatransaktioner och vara uppmärksamma på mottagarens plånboksadress.

Den rekommenderar också att du uppdaterar datorer med de senaste säkerhetskorrigeringarna, implementerar robusta endpoint-skyddslösningar med beteendedetekteringsfunktioner och håller testade offline-backuplösningar för endpoints med en rimlig återställningstid i händelse av en ransomware-attack.

MortalKombat infektionskedja

I just denna kampanj används ett nätfiske-e-postmeddelande som den initiala infektionsvektorn, vilket utlöser en komplex attackkedja där angriparen distribuerar antingen ransomware eller skadlig programvara, och sedan tar bort alla spår av skadlig aktivitet för att undvika upptäckt och analys.

Nätfiskemeddelandet innehåller en skadlig ZIP-fil som innehåller ett BAT-laddningsskript. När offret kör skriptet laddar det ner en annan skadlig ZIP-fil från en server som kontrolleras av angriparen, packar upp den automatiskt och kör nyttolasten, som kan vara antingen GO-varianten av Laplas Clipper malware eller MortalKombat ransomware. BAT-laddningsskriptet exekverar den tappade nyttolasten på offrets dator och eliminerar sedan alla spår av de nedladdade och tappade skadliga filerna, och lämnar inga bevis på infektionen.

Den primära metoden för infektion för denna attack är genom ett nätfiske-e-postmeddelande, där förövarna utger sig för att vara CoinPayments, en legitim betalningsport för kryptovaluta. De använder en falsk e-postadress, "noreply at CoinPayments dot net," och ämnet för e-postmeddelandet är "[CoinPayments dot net] Payment Timeout." E-postmeddelandet innehåller också en skadlig ZIP-filbilaga med ett filnamn som liknar ett transaktions-ID som refereras till i e-postmeddelandets innehåll, vilket leder till att mottagaren tror att det är äkta. Bilagan innehåller en skadlig BAT-laddare, som aktiveras när användaren packar upp filen för att se dess innehåll.

Hur kan du skydda ditt system från Ransomware-attacker?

Ransomware-attacker kan vara förödande, vilket resulterar i förlust av känslig data och en betydande ekonomisk kostnad. För att skydda ditt system från ransomware-attacker kan du följa dessa steg:

• Säkerhetskopiera dina data: Säkerhetskopiera dina data regelbundet till en offlineenhet, till exempel en extern hårddisk, och testa säkerhetskopieringen för att säkerställa att den fungerar korrekt.
• Håll din programvara uppdaterad: Installera säkerhetsuppdateringar och patchar för ditt operativsystem och program så snart de blir tillgängliga.
• Använd antivirusprogram: Installera och uppdatera regelbundet antivirusprogram för att upptäcka och ta bort eventuell skadlig programvara som kan finnas på ditt system.
• Var försiktig när du öppnar e-postbilagor: Öppna inte e-postbilagor från okända avsändare eller de som du inte förväntade dig.
• Använd starka lösenord: Använd unika, starka lösenord för alla konton och ändra dem regelbundet.
• Aktivera tvåfaktorsautentisering: Aktivera tvåfaktorsautentisering på alla konton som erbjuder det för ett extra lager av säkerhet.
• Var försiktig med misstänkta länkar: Klicka inte på länkar från opålitliga källor, särskilt de som skickas i e-postmeddelanden eller textmeddelanden.