Reading Time: 2 minutes

O autor do ransomware Kraken lançou uma nova versão do malware e com a novidade de poder ser distribuído num modelo RaaS na DarkWeb.

Investigadores da Recorded Future’s Insikt Group e McAfee’s Advanced Threat Research team descobriram uma nova versão do malware que é agora distribuído na DarkWeb sobre o modelo de Ransomware-as-a-Service (RaaS).

A nova versão do Kraken v.2 está a ser anunciada num dark fórum e está disponível por meio de um modelo de ransomware como serviço (RaaS). Com apenas US $50, é possível aderir ao programa de afiliados como um parceiro confiável e receber uma nova versão aprimorada do ransomware Kraken a cada 15 dias. Os afiliados recebem 80% do resgate pago e os operadores disponibilizam um serviço de suporte 24/7.

“The McAfee Advanced Threat Research team, working with the Insikt group from Recorded Future, found evidence of the Kraken authors asking the Fallout team to be added to the Exploit Kit. With this partnership, Kraken now has an additional malware delivery method for its criminal customers.”  reads a post published by McAfee.

“We also found that the user associated with Kraken ransomware, ThisWasKraken, has a paid account. Paid accounts are not uncommon on underground forums, but usually malware developers who offer services such as ransomware are highly trusted members and are vetted by other high-level forum members. Members with paid accounts are generally distrusted by the community.”

 

O Kraken Cryptor é um programa de afiliados do ransomware-as-a-service (RaaS) que apareceu pela primeira vez no submundo do cibercrime em 16 de agosto de 2018. Ele foi anunciado num fórum cibercriminoso de língua russa pelo autor malicioso ThisWasKraken.

No final de setembro, o investigador nao_sec descobriu que o Fallout Exploit Kit (o mesmo usado para distribuir o ransomware GandCrab) começou também a difundir o ransomware Kraken.

Kraken-ransomware-raas-

Depois de a vítima pagar o resgate completo, o membro afiliado envia 20 por cento do pagamento recebido para o RaaS de forma a receber a chave privada  e encaminhar depois para a vítima. A chave privada permite obter o conteúdo originalmente cifrado pelo ransomware.

“In addition to the countries listed above, the latest samples of Kraken that have been identified in the wild no longer affect victims in Syria, Brazil, and Iran, suggesting that ThisWasKraken (or their associates) may have some connection to Brazil and Iran, though this is not confirmed. It is likely that Syria was added following the plea for help from a victim whose computer was infected by another ransomware called GandCrab.” reads the analysis published by Recorded Future.

 

Investigadores do Insikt Group perceberam que os operadores de RaaS não permitem que os afiliados enviem os ficheiros de amostra do Kraken para serviços de antivírus baseados em Cloud.

Segue abaixo um mapa que mostra a distribuiçaão das vítimas do ransomware Kraken.

Kraken-ransomware-raas-distribution-

 

O ransomware já infectou 620 vítimas em todo o mundo desde agosto, mas os especialista apontaram que a primeira campanha real só começou no mês passado, quando os atacantes estavam a mascarar a ameaça através de uma solução de segurança no website SuperAntiSpyware.

 

Investigadores destacam que os programas RaaS e afiliados estão crescendo no submundo do cibercrime, atraindo um número crescente de aspirantes a criminosos.
Mais detalhes e IOCs aqui (Recorded Future and McAfee).

 

Pedro Tavares is a professional in the field of information security, working as an Ethical Hacker, Malware Analyst, Cybersecurity Analyst and also a Security Evangelist. He is also a founding member and Pentester at CSIRT.UBI and founder of the security computer blog seguranca-informatica.pt.

In recent years he has invested in the field of information security, exploring and analyzing a wide range of topics, such as pentesting (Kali Linux), malware, hacking, cybersecurity, IoT and security in computer networks.  He is also Freelance Writer.

Read more here.