В понедельник ИБ-специалист Владислав Радецкий опубликовал отчет
о новом шифровальщике, который использовала группировка вымогателей Bl00Dy для атаки на украинскую жертву.
Твит, опубликованный Радецким 25 сентября.
Правда специалисту была неясно, у кого злоумышленники взяли код – у Conti или LockBit, так как адрес электронной почты ‘ filedecryptionsupport@msgsafe.io ‘ ранее появлялся в шифровальщике, созданном на основе исходного кода Conti, слитого в сеть весной этого года.
Однако позже исследователи из MalwareHunterTeam подтвердили , что вредонос был создан с помощью конструктора от LockBit 3.0, который не так давно был слит в интернет разъяренным разработчиком.
Однако, между старыми шифровальщиками Bl00dy и последним из обнаруженных вредоносов есть отличие: к зашифрованным файлам больше не добавляется расширение .bl00dy, у конструктора от LockBit 3.0 нет возможности настроить расширение. А вот записка почти не изменилась – сохранился классический “стиль” LockBit, Bl00dy просто немного изменили ее, добавив собственный текст и контактную информацию.
Записка от группировки Bl00dy.
По мнению экспертов, группировка постоянно переключается с одной вредоносной программы на другую по двум причинам: так злоумышленники хотят избежать обнаружения и иметь под рукой все преимущества функций различных вредоносов.
Источник: SecurityLab