Grup yang menyebut dirinya H0lyGh0st sedang dilacak oleh Microsoft Threat Intelligence Center di bawah moniker DEV-0530, sebutan yang ditetapkan untuk grup aktivitas ancaman yang tidak diketahui, muncul, atau berkembang.
Entitas yang ditargetkan terutama mencakup usaha kecil hingga menengah seperti organisasi manufaktur, bank, sekolah, dan perusahaan perencanaan acara dan pertemuan.
“Bersama dengan muatan H0lyGh0st mereka, DEV-0530 memelihara situs .onion yang digunakan kelompok untuk berinteraksi dengan korban mereka,” kata para peneliti dalam analisis hari Kamis.
“Metodologi standar grup ini adalah mengenkripsi semua file pada perangkat target dan menggunakan ekstensi file .h0lyenc, mengirimkan sampel file kepada korban sebagai bukti, dan kemudian meminta pembayaran dalam Bitcoin sebagai imbalan untuk memulihkan akses ke file.”
Jumlah tebusan yang diminta oleh DEV-0530 berkisar antara 1,2 dan 5 bitcoin, meskipun analisis dompet cryptocurrency penyerang menunjukkan tidak ada pembayaran tebusan yang berhasil dari korbannya pada awal Juli 2022.
Sebagai tanda yang menunjukkan pengembangan aktif, empat varian berbeda dari ransomware H0lyGh0st dibuat antara Juni 2021 dan Mei 2022 untuk menargetkan sistem Windows: BTLC_C.exe, HolyRS.exe, HolyLock.exe, dan BLTC.exe.
Sementara BTLC_C.exe (dijuluki SiennaPurple) ditulis dalam C++, tiga versi lainnya (dengan nama kode SiennaBlue) diprogram dalam Go, menunjukkan upaya dari pihak musuh untuk mengembangkan malware lintas platform.
Strain yang lebih baru juga dilengkapi dengan peningkatan fungsionalitas intinya, termasuk kebingungan string dan kemampuan untuk menghapus tugas terjadwal dan menghapus dirinya sendiri dari mesin yang terinfeksi.
Penyusupan dikatakan telah difasilitasi melalui eksploitasi kerentanan yang belum ditambal dalam aplikasi web yang menghadap publik dan sistem manajemen konten (misalnya, CVE-2022-26352), memanfaatkan pembelian untuk menjatuhkan muatan ransomware dan mengekstrak data sensitif sebelum mengenkripsi file.
Temuan ini muncul seminggu setelah badan keamanan siber dan intelijen AS memperingatkan tentang penggunaan ransomware Maui oleh peretas yang didukung pemerintah Korea Utara untuk menargetkan sektor perawatan kesehatan setidaknya sejak Mei 2021.
Ekspansi dari perampokan finansial ke ransomware dipandang sebagai taktik lain yang disponsori oleh pemerintah Korea Utara untuk mengimbangi kerugian akibat sanksi, bencana alam, dan kemunduran ekonomi lainnya.
Sumber: The Hacker News
