![Ransomware como serviço Ransomware como serviço](https://i0.wp.com/blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEiqaqt6f7Up8mPDo9tUp-usTlDng9cVeNXKLiHEpcHyMZUiZvREWQ-OjdYH_atv4FRmCnGSJJQTeDH_4_NgDQ2Hr-AnaY_Q2VotL7dKIT2BgjqpquzKzbH4OYRAkuLfqjYZKvi4q0mSp46W5EnL81K4nAHC_DVJU4N3WgT6gy1cgphBbr6p3PSLQsNiwDS8/s728-rw-e365/ransomware.png?w=780&ssl=1)
Uma operação emergente de ransomware como serviço (RaaS) chamada Eldorado vem com variantes de bloqueio para criptografar arquivos em sistemas Home windows e Linux.
O Eldorado apareceu pela primeira vez em 16 de março de 2024, quando um anúncio do programa de afiliados foi postado no fórum de ransomware RAMP, disse o Group-IB, sediado em Cingapura.
A empresa de segurança cibernética, que se infiltrou no grupo de ransomware, observou que seu representante fala russo e que o malware não se sobrepõe a cepas vazadas anteriormente, como LockBit ou Babuk.
“O ransomware Eldorado usa Golang para capacidades multiplataforma, empregando Chacha20 para criptografia de arquivos e Rivest Shamir Adleman-Optimum Uneven Encryption Padding (RSA-OAEP) para criptografia de chaves”, disseram os pesquisadores Nikolay Kichatov e Sharmine Low. “Ele pode criptografar arquivos em redes compartilhadas usando o protocolo Server Message Block (SMB).”
O criptografador para Eldorado vem em quatro formatos, a saber, esxi, esxi_64, win e win_64, com seu web site de vazamento de dados já listando 16 vítimas de junho de 2024. Treze dos alvos estão localizados nos EUA, dois na Itália e um na Croácia.
Essas empresas abrangem vários setores da indústria, como imobiliário, educação, serviços profissionais, saúde e manufatura, entre outros.
![Cíber segurança](https://i0.wp.com/blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEiPFFLXZHfTA0FUmsAJ30SeqiM34x3Qes8BjBSTnhm4zHUJUal87CZLGZFJ7f5vxdaZIyNeTzf7fA-8s0CQhiG9ltxRFReWpgvmp2VfSMbjmN8i0yCv_74a3h7HaGxNlFqr5LEyPghIcxNNfXkksw3nQvKsqKKAU4wsl5Ll9UKu2hv6fbtXy4PHGNBW8SxC/s1200/a_d.png?resize=727%2C90&ssl=1)
Uma análise mais aprofundada da versão do Home windows dos artefatos revelou o uso de um comando do PowerShell para substituir o armário com bytes aleatórios antes de excluir o arquivo, em uma tentativa de limpar os rastros.
Eldorado é o mais recente na lista de novos ransomwares de dupla extorsão que surgiram nos últimos tempos, incluindo Arcus Media, AzzaSec, dan0n, Limpopo (também conhecido como SOCOTRA, FORMOSA, SEXi), LukaLocker, Shinra e House Bears, destacando mais uma vez a natureza duradoura e persistente da ameaça.
![Ransomware como serviço Ransomware como serviço](https://i0.wp.com/blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhk4Qz-4Sj-98oxAUiN6chtm3vBOw0A5rWou1DTFeeHPQzZMFORL95JQR7_6TfNaKjtJK4DCafST0mP8kWWhtrTwUmBpBCTc1olTKV6wnufZK-wwdsHq_ubR7w-qpCGLtQBhXfzilNjdvMlxnSzNBLtlTxF3Hdu5p1yiy-Cdr3d1ol_Z4ZMWpKuNf-GNpju/s728-rw-e365/ib.png?w=780&ssl=1)
O LukaLocker, vinculado a uma operadora chamada Volcano Demon pela Halcyon, é notável pelo fato de não utilizar um web site de vazamento de dados e, em vez disso, ligar para a vítima por telefone para extorquir e negociar o pagamento após criptografar estações de trabalho e servidores Home windows.
O desenvolvimento coincide com a descoberta de novas variantes Linux do ransomware Mallox (também conhecido como Fargo, TargetCompany, Mawahelper), bem como descriptografadores associados a sete compilações diferentes.
![Ransomware como serviço Ransomware como serviço](https://i0.wp.com/blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgw-AV1l9N2CDuo_fhV4RmWFFCY3mVHDqurNkGhx0cGKsx7iSlhK5BrUIUOeXb7eKxDMlOMOYL4I7MSquFgS42YMVgzyrFMnwVOMMXInTY1U3i7SwX-AKJq3soK2iwZwKH-j5kU4SJ8T_QUW6L57SVLPddZ3MJwyqxRKRTCnKkpNfcuWOblHRfP6WMb_fIY/s728-rw-e365/ransomware.png?w=780&ssl=1)
O Mallox é conhecido por ser propagado por força bruta em servidores Microsoft SQL e e-mails de phishing para atingir sistemas Home windows, com invasões recentes também fazendo uso de um carregador baseado em .NET chamado PureCrypter.
“Os atacantes estão usando scripts python personalizados com o propósito de entrega de payload e exfiltração de informações da vítima”, disseram os pesquisadores da Uptycs Tejaswini Sandapolla e Shilpesh Trivedi. “O malware criptografa os dados do usuário e anexa a extensão .locked aos arquivos criptografados.”
![Cíber segurança](https://i0.wp.com/blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgF-Ztrtc0QOz90x07JmRFIH2xX1f9xk8ILPu5Y_lehiVS_gvyvG2yhkXRYUHld6Ztln3zokjOpFLBkesTWTG-W63G_ZJKYIyBFe8d-6Wa_QwqOIlrFxTRdIg5CkedLQQTGAJ8aayk0hyphenhyphenT3K6Vix554HdaRABxodRKpsJ9DfWQZHssKMHd6Fl7096KmQ0UR/s728-e365/desktop.gif?resize=727%2C90&ssl=1)
Um descriptografador também foi disponibilizado para DoNex e seus predecessores (Muse, falso LockBit 3.0 e DarkRace) pela Avast, aproveitando uma falha no esquema criptográfico. A empresa tcheca de segurança cibernética disse que tem “fornecido silenciosamente o descriptografador” para vítimas desde março de 2024 em parceria com organizações policiais.
“Apesar dos esforços da polícia e do aumento das medidas de segurança, os grupos de ransomware continuam a se adaptar e prosperar”, disse o Group-IB.
Dados compartilhados pela Malwarebytes e NCC Group com base nas vítimas listadas nos websites de vazamento mostram que 470 ataques de ransomware foram registrados em maio de 2024, acima dos 356 em abril. A maioria dos ataques foi reivindicada pela LockBit, Play, Medusa, Akira, 8Base, Qilin e RansomHub.
“O desenvolvimento contínuo de novas cepas de ransomware e o surgimento de programas de afiliados sofisticados demonstram que a ameaça está longe de ser contida”, observou o Group-IB. “As organizações devem permanecer vigilantes e proativas em seus esforços de segurança cibernética para mitigar os riscos apresentados por essas ameaças em constante evolução.”