Royal Ransomware går för högprofilerade mål

En relativt ny aktör för ransomware-hot gör stora steg och väcker uppmärksamhet. Den nya hotaktörens närvaro upptäcktes först i början av 2022 och Royal har varit aktiv sedan dess.

Det som skiljer Royal från de flesta ransomware-operationer är att denna hotaktör inte hyr ut sina verktyg och infrastruktur till affiliates utan istället arbetar privat. Dessutom går Royal efter träffar med hög insats, med lösensummor som sträcker sig från en kvarts miljon till cirka två miljoner dollar.

Till en början signerades ransomware-lapparna med namnet Zeon, efter hotaktörens eget krypteringsverktyg, men detta ändrades till Royal hösten 2022. Det som är anmärkningsvärt är att innan Royal använde lösensedlar som var anmärkningsvärda, innan de började skriva sina egna krypteringsverktyg strukturerad på samma sätt som Conti-gänganteckningar.

Man tror att Royal använder sofistikerade nätfiskeattacker för att få första åtkomst, använder livetelefonoperatörer och utger sig för att vara olika enheter. Offer som ringer med Royals operatörer övertalas att installera fjärrkontrollapplikationer. Hackarna använde dessa applikationer för att få ett första fotfäste i målets nätverk.

När Royal väl är inne är det business as usual, med att säkra uthållighet och flytta i sidled över nätverket innan krypteringsverktygen implementeras. Ransomwaren lägger till filtillägget ".royal" och släpper en lösennota i en fil som heter "README.TXT", som säger åt offren att kontakta hotaktören via en Onion-sida.