'Lilith' adı altında yeni bir fidye yazılımı işlemi başlatıldı ve ilk kurbanını çift uzatma saldırılarını desteklemek için oluşturulan bir veri sızıntısı sitesinde yayınladı.
Lilith, Jameswt tarafından keşfedilen ve Windows'un 64 bit sürümleri için tasarlanan bir C/C ++ konsol tabanlı fidye yazılımıdır. Bugün piyasaya sürülen fidye yazılımı işlemlerinin çoğu gibi, Lilith de çift genişlemeli saldırılar gerçekleştiriyor, bu da tehdit aktörlerinin cihazları şifrelemeden önce verileri çaldığı zaman.
Lilith'i analiz eden Cyble araştırmacılarının bir raporuna göre, yeni aile herhangi bir yenilik getirmiyor. Bununla birlikte, son zamanlarda ortaya çıkan Redallert ve 0mega ile birlikte dikkat edilmesi gereken en son tehditlerden biri.
Yürütme üzerine Lilith, Outlook, SQL, Thunderbird, Steam, PowerPoint, WordPad, Firefox ve daha fazlası dahil olmak üzere, girişlerle eşleşen süreçleri sonlandırmaya çalışır.
Bu, değerli dosyaları şu anda kullanabilecek uygulamalardan serbest bırakır ve böylece bunları şifreleme için kullanılabilir hale getirir.
Şifreleme işlemi başlatılmadan önce Lilith, numaralandırılmış tüm klasörlere fidye notları oluşturur ve bırakır.
Not, kurbanlara sağlanan Tox sohbet adresi üzerinden fidye yazılımı aktörleriyle iletişim kurmaları için üç gün verir veya kamuya açık verilere maruz kalma ile tehdit edilir.
Şifrelemeden hariç tutulan dosya türleri EXE, DLL ve SYS'dir, program dosyaları, web tarayıcıları ve geri dönüşüm kutusu klasörleri de atlanır.
İlginç bir şekilde, Lilith ayrıca Babuk fidye yazılımı enfeksiyonlarının yerel genel anahtarını depolayan 'ECDH_PUB_K.BIN' için bir dışlama içerir.
Bu, kopyalanan koddan bir kalıntı olabilir, bu nedenle iki fidye yazılımı suşu arasındaki bir bağlantının göstergesi olabilir.
Son olarak, şifreleme Windows Cryptographic API kullanılarak gerçekleşirken, Windows'un CryptGenrandom işlevi rastgele anahtarı oluşturur.
Fidye yazılımı, aşağıda gösterildiği gibi dosyaları şifrelerken ".lilith" dosya uzantısını ekler.
Lilith'in büyük ölçekli bir tehdide mi yoksa başarılı bir RAAS programına mı gelip gelemeyeceğini söylemek için çok erken olsa da, analistlerin göz kulak olması gereken bir şey.
Bunu yazarken gasp alanından çıkarılan ilk kurbanı, Güney Amerika merkezli büyük bir inşaat grubuydu.
Bu, Lilith'in büyük oyun avı ile ilgilendiğinin ve operatörlerinin kolluk kuvvetleri tarafından hedeflenmekten kaçınmak için gezinmeleri gereken siyasi labirentlerin zaten farkında olduklarının bir işaretidir.
Sonuçta, bu yeni fidye yazılımı projelerinin çoğu eski programların yeniden markalarıdır, bu nedenle operatörleri genellikle alanın karmaşıklıklarını çok iyi bilirler.
Yeni 0mega Fidye Yazılımı, işletmeleri çift genişlemeli saldırılarda hedefliyor
Endüstriyel Casus Veri Gasp Pazarı Fidye Yazılımı Oyununa girer
Ransomware Gang, çalışanların çalınan verilerini araması için site oluşturur
Vice Society fidye yazılımı İtalyan Şehri Palermo'ya saldırı iddiaları
Fidye yazılımı çeteleri artık kurbanlara itibarlarını kurtarmaları için zaman veriyor
Kaynak: Bleeping Computer