⁣🇺🇦 RansomBoggs Ransomware: colpite diverse entità ucraine

I ricercatori di ESET hanno osservato molteplici attacchi che coinvolgono una nuova famiglia di ransomware, tracciati come ransomware RansomBoggs, contro organizzazioni ucraine.

La società di sicurezza ha rilevato per la prima volta gli attacchi il 21 novembre e ha immediatamente allertato il CERT USA. Il ransomware è scritto in .NET e gli esperti hanno notato che la distribuzione è simile ai precedenti attacchi attribuiti al gruppo Sandworm APT collegato alla Russia .

Sandworm (alias BlackEnergy e TeleBots) è attivo dal 2000, opera sotto il controllo dell’Unità 74455 del Main Center for Special Technologies (GTsST) del GRU russo.
Il gruppo è anche l'autore del ransomware NotPetya che ha colpito centinaia di aziende in tutto il mondo nel giugno 2017, causando danni per miliardi.
Ad aprile, Sandworm ha preso di mira gli impianti energetici in Ucraina con un nuovo ceppo del malware Industroyer ICS (INDUSTROYER2).
Dall'agosto 2022, i ricercatori di Recorded Future hanno osservato un aumento dell'infrastruttura di comando e controllo (C2) utilizzata da Sandworm (monitorata dal CERT-UA ucraino come UAC-0113).

L'analisi del codice RansomBoggs Ransomware ha rivelato che gli autori fanno più riferimenti al film Pixar Monsters, Inc. La richiesta di riscatto, SullivanDecryptsYourFiles.txt, mostra gli autori che impersonano il personaggio principale del film James P. Sullivan e anche il file eseguibile è denominato Sullivan.<versione?>.exe .

Gli utenti hanno utilizzato uno script di PowerShell per diffondere il ransomware, gli esperti hanno notato che è quasi identico allo script rilevato ad aprile durante gli attacchi di Industroyer2 contro il settore energetico