Seorang pelaku ancaman mempromosikan versi baru pembuat ransomware ‘Penebus’ mereka yang gratis di forum peretas, menawarkan pelaku ancaman yang tidak terampil akses mudah ke dunia serangan pemerasan yang didukung enkripsi.
Menurut penulisnya, rilis versi 2.0 yang baru ditulis seluruhnya dalam C++ dan bekerja pada Windows Vista, 7, 8, 10, dan 11, menampilkan kinerja multi-utas dan tingkat deteksi AV menengah.
Tidak seperti banyak operasi Ransomware-as-a-Service (RaaS), siapa pun dapat mengunduh dan menggunakan pembuat ransomware Redeemer untuk meluncurkan serangan mereka sendiri. Namun, ketika seorang korban memutuskan untuk membayar uang tebusan, penulis menerima 20% dari biaya dan membagikan kunci master untuk digabungkan dengan kunci pembuatan pribadi yang dipegang oleh afiliasi untuk dekripsi.
Selain itu, versi baru ini menampilkan antarmuka pengguna grafis baru bagi afiliasi untuk membangun alat dekripsi dan eksekusi ransomware, sementara semua petunjuk tentang cara menggunakannya terlampir dalam ZIP.
Penulis mengatakan proyek akan menjadi open-source jika mereka kehilangan minat, persis seperti yang terjadi dengan Redeemer 1.0 pada Juni 2021, ketika aktor ancaman merilis kode sumbernya secara publik.
Detail Penebus 2.0
Versi pembuat ransomware baru menampilkan beberapa tambahan seperti dukungan untuk Windows 11, alat GUI, dan lebih banyak opsi komunikasi seperti XMPP dan Obrolan Tox.
Selain itu, sekarang ada sistem pelacakan ID kampanye, menambahkan data ke dalam executable, memungkinkan pelaku ancaman untuk melacak berbagai kampanye yang mungkin mereka lakukan.
Karena jumlah tebusan ditetapkan selama pembuatan yang dapat dieksekusi dan sesuai dengan ID tertentu, afiliasi tidak dapat membuat klaim sewenang-wenang kepada penulis, sehingga potongan 20% yang terakhir dijamin.
Penulis telah membuat halaman di situs web gelap bagi afiliasi untuk memperoleh kit, menjalin komunikasi, mengakses instruksi, dan menerima dukungan.
Para peneliti di Cyble, yang telah menganalisis versi baru, melaporkan bahwa ransomware membuat mutex saat diluncurkan untuk menghindari beberapa contoh yang berjalan di sistem korban dan menyalahgunakan Windows API untuk mengeksekusi dirinya sendiri dengan hak istimewa admin.
Sebelum enkripsi, malware menyalahgunakan perintah Windows untuk menghapus log peristiwa dan menghapus salinan bayangan dan cadangan status sistem apa pun, mencegah pemulihan yang mudah/gratis.
Selanjutnya, proses yang ditunjukkan di bawah ini dihentikan untuk mencegah membahayakan proses enkripsi dan untuk membebaskan semua file dan data target agar dapat dienkripsi.
Setelah itu, ransomware menjatuhkan ikon khusus untuk Windows yang digunakan untuk ekstensi file terenkripsi (redeem), menghasilkan catatan tebusan, dan menghitung semua file dan direktori.
Bleeping Computer menguji ransomware secara independen dan menemukan bahwa ransomware tidak menghapus semua file setelah mengenkripsinya, sehingga operasinya tampaknya tidak dapat diandalkan sekarang.
Saat mencoba membuka salah satu salinan terenkripsi, korban menerima pesan yang mengarahkan mereka untuk membuka catatan tebusan untuk instruksi tentang apa yang harus dilakukan.
Ransomware juga menambahkan catatan tebusan di kunci registri Winlogon untuk memperingatkan pengguna tentang apa yang terjadi saat sistem dihidupkan ulang.
Sumber: BleepingComputer
