Pesquisadores de segurança cibernética divulgaram uma nova variedade de ransomware chamada GoodWill que obriga as vítimas a doar para causas sociais e fornecer assistência financeira a pessoas necessitadas.
“O grupo de ransomware propaga demandas muito incomuns em troca da chave de descriptografia”, pesquisadores da CloudSEK disse em um relatório publicado na semana passada. “O grupo tipo Robin Hood afirma estar interessado em ajudar os menos afortunados, em vez de extorquir vítimas por motivos financeiros.”
Escrito em .NET, o ransomware foi identificado pela primeira vez pela empresa de segurança cibernética com sede na Índia em março de 2022, com as infecções tornando os arquivos confidenciais inacessíveis sem descriptografá-los. O malware, que usa o algoritmo AES para criptografia, também é notável para dormir por 722,45 segundos para interferir na análise dinâmica.
O processo de criptografia é seguido pela exibição de uma nota de resgate de várias páginas que exige que as vítimas realizem três atividades sociais para obter o kit de descriptografia.
Isso inclui doar roupas e cobertores novos para os sem-teto, levar cinco crianças carentes à Domino’s Pizza, Pizza Hut ou KFC para um deleite e oferecer apoio financeiro a pacientes que precisam de atendimento médico urgente, mas não têm meios financeiros para fazê-lo. assim.
Além disso, as vítimas são solicitadas a registrar as atividades na forma de capturas de tela e selfies e publicá-las como evidência em suas contas de mídia social.
“Depois que todas as três atividades forem concluídas, as vítimas também devem escrever uma nota nas mídias sociais (Facebook ou Instagram) sobre ‘Como você se transformou em um ser humano gentil ao se tornar vítima de um ransomware chamado GoodWill’”, disseram os pesquisadores.
Não há vítimas conhecidas do GoodWill e suas táticas, técnicas e procedimentos exatos (TTPs) usados para facilitar os ataques ainda não estão claros.
Também não é reconhecida a identidade do agente da ameaça, embora uma análise do endereço de e-mail e dos artefatos de rede sugira que os operadores são da Índia e falam hindi.
Investigações adicionais sobre a amostra de ransomware também revelaram sobreposições significativas com outra variedade baseada no Windows chamada HiddenTear, o primeiro ransomware a ter código aberto como prova de conceito (PoC) em 2015 por um programador turco.
“Os operadores do GoodWill podem ter obtido acesso a isso, permitindo que eles criassem um novo ransomware com as modificações necessárias”, disseram os pesquisadores.
Fonte: TheHackerNews
