Οι χειριστές του Black Kingdom ransomware στοχεύουν επιχειρήσεις με unpatched software Pulse Secure VPN, σύμφωνα με ερευνητές ασφαλείας.
Το malware παγιδεύτηκε σε ένα honeypot, επιτρέποντας στους ερευνητές να αναλύσουν και να τεκμηριώσουν τις τακτικές που χρησιμοποιούν οι παράγοντες απειλής.
Εκμεταλλεύονται το CVE-2019-11510, μια κρίσιμη ευπάθεια που επηρεάζει παλαιότερες εκδόσεις του Pulse Secure VPN που επιδιορθώθηκε τον Απρίλιο του 2019. Οι εταιρείες καθυστέρησαν την ενημέρωση του λογισμικού τους ακόμη και μετά τη δημοσίευση των exploits, με την αμερικανική κυβέρνηση και με μερικούς παράγοντες απειλής να το αξιοποιούν – ορισμένοι οργανισμοί συνεχίζουν να τρέχουν μια ευάλωτη έκδοση του προϊόντος.
Η REDTEAM.PL, μια εταιρεία που προσφέρει υπηρεσίες ασφάλειας στον κυβερνοχώρο με έδρα την Πολωνία, παρατήρησε ότι οι φορείς εκμετάλλευσης του Black Kingdom χρησιμοποίησαν την ίδια πόρτα που παρέχεται από την Pulse Secure VPN για να παραβιάσουν αυτό που πίστευαν ότι ήταν στόχος.
Από τις παρατηρήσεις των ερευνητών, το ransomware καθόρισε το persistence με την πλαστοπροσωπία μιας νόμιμης προγραμματισμένης εργασίας για το Google Chrome, με ένα μόνο γράμμα να κάνει τη διαφορά:
Σύμφωνα με την ανάλυση του REDTEAM.PL, η προγραμματισμένη εργασία εκτελεί ένα string κώδικα με κωδικοποίηση Base64 σε ένα κρυφό παράθυρο PowerShell για να πάρει ένα script με το όνομα “reverse.ps1” που πιθανότατα χρησιμοποιείται για να ανοίξει ένα “reverse shell” στον παραβιασμένο κεντρικό υπολογιστή.
Ο Adam Ziaja από το REDTEAM.PL είπε ότι το script δεν μπορεί να ανακτηθεί από τον remote server που ελέγχεται από τον εισβολέα, πιθανώς επειδή ο server που το φιλοξενούσε είχε αποκλειστεί πριν από την παράδοση του payload.
Η διεύθυνση IP όπου κατοικούσε το “reverse.ps1” είναι η 198.13.49.179, το οποίο διαχειρίζεται η Choopa, μια θυγατρική εταιρεία της Vultr, γνωστή για τους φθηνούς virtual private servers (VPS) που παρέχει. Οι servers αυτοί χρησιμοποιούνται και από εγκληματίες στον κυβερνοχώρο για να φιλοξενήσουν τα κακόβουλα τους εργαλεία.
Πρόσφατη εμφάνιση
Το Black Kingdom ransomware εντοπίστηκε για πρώτη φορά στα τέλη Φεβρουαρίου από τον ερευνητή ασφαλείας GrujaRS, ο οποίος διαπίστωσε ότι επισύναψε την επέκταση .DEMON σε κρυπτογραφημένα αρχεία.
Το δείγμα που αναλύθηκε επικοινώνησε με την ίδια διεύθυνση IP που βρέθηκε στην αναφορά του REDTEAM.PL. Εμφανίστηκε το παρακάτω σημείωμα λύτρων ζητώντας 10.000 $ να κατατεθούν σε ένα πορτοφόλι bitcoin και απειλώντας ότι εάν δεν το κάνει θα οδηγήσει σε καταστροφή ή πώληση των δεδομένων.
