TeamXRat: novo ransomware de origem brasileira | Securelist
Do Xorist para o Xpan
O cibercrime brasileiro é conhecido mundialmente pelo desenvolvimento de trojans bancários, mas é interessante ver que já começou a mover seus esforços para novas áreas de ataque — o que agora inclui ransomware, os vírus sequestradores. Encontramos recentemente uma nova variante de um ransomware desenvolvido por um grupo de criminosos brasileiros. Chamamos a praga de Trojan-Ransom.Win32.Xpan – ela tem sido usada em ataques contra empresas e hospitais, afetando diretamente pessoas inocentes, cifrando os arquivos usando a extensão ".___xratteamLucked".
Denylist de substrings: os arquivos cujas pastas contém alguma dessas strings não serão cifrados;
Uma versão anterior dessa praga, desenvolvida pelo mesmo grupo usava um algoritmo criptográfico mais simples, conhecido como TEA (ou Tiny Encryption Algorithm). Depois de comparar essa versão (chamada de Xorist) contra a nova variante Xpan, nós podemos observar que agora eles estão usando a criptografia AES-256.
Irá iniciar automaticamente quando o usuário logar no sistema, usando a chave de persistencia SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run Não usa nenhum método de persistencia
TEA (Tiny Encryption Algorithm) AES-256
ASM, MS Linker C++, compilador MinGW
Inclui uma lista de extensões de arquivos que serão cifrados Irá cifrar tudo, exceto arquivos .EXE e .DLL que estão no denylist das substrings
Se você foi vítima desse ataque, não pague o resgate! Entre em contato com nosso suporte. Poderemos ajudar.
Detectamos a nova ameaça (MD5: 34260178f9e3b2e769accdee56dac793) como Trojan-Ransom.Win32.Xpan.a e PDM:Trojan.Win32.Generic. Estamos de olho em variantes dessa praga –que seguramente irão aparecer, vindas dos mesmos criminosos.