Ένας κυβερνοεγκληματίας με το ψευδώνυμο “salfetka” ισχυρίζεται ότι πουλά τον source code του INC Ransom ransomware.
Το ransomware εμφανίστηκε τον Αύγουστο του 2023 και έχει στοχεύσει την Xerox Business Solutions (το τμήμα των ΗΠΑ), τη Yamaha Motor Philippines και, πιο πρόσφατα, την Εθνική Υπηρεσία Υγείας της Σκωτίας (NHS).
Αξίζει να σημειωθεί ότι ταυτόχρονα με την υποτιθέμενη πώληση, η επιχείρηση INC Ransom υφίσταται αλλαγές, που ενδέχεται να υποδηλώνουν ρήξη μεταξύ των βασικών μελών της ομάδας της. Μπορεί, όμως, να γίνονται απλώς αλλαγές για τη χρήση ενός νέου encryptor.
Δείτε επίσης: Η INC Ransom πίσω από την επίθεση στο Leicester City Council
INC Ransom ransomware: Πώληση source code
Ο salfetka ανακοίνωσε την πώληση τόσο για την έκδοση Windows όσο και για την Linux/ESXi στα hacking forums Exploit και XSS, ζητώντας 300.000 $. Είπε ακόμα ότι μόνο τρία άτομα μπορούν να αγοράσουν τον source code του ransomware.
Ειδικοί της KELA, που εντόπισαν την πώληση, ανέφεραν ότι πράγματι οι τεχνικές λεπτομέρειες που αναφέρονται στην ανάρτηση (π.χ. χρήση AES-128 σε CTR mode και οι αλγόριθμοι Curve25519 Donna), ευθυγραμμίζονται με τα δείγματα του INC Ransom ransomware που έχουν αναλυθεί. Επιπλέον, περιλαμβάνονται τόσο οι παλιές όσο και οι νέες διευθύνσεις URL της σελίδας INC Ransom στην υπογραφή, υποδεικνύοντας τη σύνδεση με τη λειτουργία ransomware.
Η KELA είπε επίσης στο BleepingComputer ότι ο “salfetka” ήταν ενεργός στα hacking forums από τον Μάρτιο του 2024.
Ωστόσο, η πώληση θα μπορούσε να είναι απάτη, με τον επιτιθέμενο να επιμελείται προσεκτικά τον λογαριασμό “salfetka” τους τελευταίους μήνες.
Επί του παρόντος, δεν υπάρχουν δημόσιες ανακοινώσεις στον παλιό ή νέο ιστότοπο της INC Ransom σχετικά με την πώληση του source code του ransomware.
Δείτε επίσης: Εθνική Υπηρεσία Υγείας Σκωτίας: Οι hackers INC Ransom απειλούν με διαρροή δεδομένων
INC Ransom: Νέος ιστότοπος
Την 1η Μαΐου 2024, η ομάδα INC Ransom ανακοίνωσε στον παλιό ιστότοπο διαρροής δεδομένων ότι θα μεταφερόταν σε ένα νέο “blog” εκβιασμού και μοιράστηκε μια νέα διεύθυνση TOR, δηλώνοντας ότι ο παλιός ιστότοπος θα έκλεινε σε δύο έως τρεις μήνες.
Ο νέος ιστότοπος έχει ήδη ανοίξει και υπάρχουν κάποια παλιά θύματα (θύματα που υπήρχαν και στο παλιό site) καθώς και δώδεκα νέα θύματα. Συνολικά, ο νέος ιστότοπος απαριθμεί 64 θύματα. Ο παλιός είχε 91, που σημαίνει ότι πολλά από τα παλιά θύματα δεν εμφανίζονται στο νέο site.
“Οι αποκλίσεις μεταξύ των δύο sites μπορεί να υποδηλώνουν μια αλλαγή ηγεσίας ή διάσπαση σε διαφορετικές ομάδες“, σχολίασαν οι αναλυτές της KELA.
“Ωστόσο, το γεγονός ότι ο “salfetka” έχει αναφέρει και τα δύο sites, δείχνει ότι μάλλον ο ίδιος δεν σχετίζεται μόνο με ένα μέρος της επιχείρησης… Σε αυτή την περίπτωση, είναι πιθανό το νέο blog να δημιουργήθηκε σε μια προσπάθεια να κερδίσει περισσότερα κέρδη από την πώληση“.
Αξίζει επίσης να σημειωθεί ότι ο νέος σχεδιασμός της σελίδας εκβιασμού της INC Ransom μοιάζει οπτικά με αυτόν της Hunters International, κάτι που θα μπορούσε να υποδηλώνει σύνδεση μεταξύ των δύο.
Δείτε επίσης: Ascension: Τα συστήματα αποκαθίστανται μετά το ransomware
Τι σημαίνει μια πιθανή πώληση του source code του INC Ransom ransomware;
Με την πώληση του κώδικα ενός ransomware, μπορεί να βρεθούμε αντιμέτωποι με νέες πιο επικίνδυνες επιθέσεις. Το INC Ransom ransomware είναι ένα εξελιγμένο εργαλείο και ο αγοραστής του μπορεί να το βελτιώσει κι άλλο για να προκαλέσει μεγαλύτερη ζημιά στα θύματα.
Ο salfetka είπε ότι μπορεί να πωληθεί σε τρία άτομα, οπότε θα γίνει ευρεία εκμετάλλευση του source code, που θα μπορούσε να οδηγήσει στη δημιουργία πολλών νέων παραλλαγών και άρα σε δραστική αύξηση των επιθέσεων ransomware.
Υπάρχει ο κίνδυνος να δούμε νέες εκδόσεις του INC Ransom ransomware, ακόμα πιο εξελιγμένες και δύσκολες στην αντιμετώπιση. Σε αυτή τη φάση, είναι ζωτικής σημασίας τα άτομα και οι εταιρείες να λάβουν όλα τα προληπτικά μέτρα για να προστατευθούν. Αυτό μπορεί να περιλαμβάνει την προώθηση της εκπαίδευσης στην κυβερνοασφάλεια, την ενημέρωση του λογισμικού και των συστημάτων ασφάλειας, καθώς και τη δημιουργία αντιγράφων ασφαλείας.
Πηγή: www.bleepingcomputer.com
![Pinterest](https://pinterest.com/pin/create/button/?url=https://www.secnews.gr/563272/inc-ransom-poleitai-source-code-ransomware/&media=https://www.secnews.gr/wp-content/uploads/2024/05/INC-Ransom-ransomware-source-code-poleitai.png&description=Ένας κυβερνοεγκληματίας με το ψευδώνυμο "salfetka" ισχυρίζεται ότι πουλά τον source code του INC Ransom ransomware.){kind=link}