{"id":2973,"date":"2021-07-26T12:24:18","date_gmt":"2021-07-26T10:24:18","guid":{"rendered":"https:\/\/fortgale.com\/news\/?p=2973"},"modified":"2021-07-26T12:24:18","modified_gmt":"2021-07-26T10:24:18","slug":"medusalocker","status":"publish","type":"post","link":"https:\/\/fortgale.com\/blog\/cyber-security-news\/medusalocker\/","title":{"rendered":"MedusaLocker"},"content":{"rendered":"\n<p>Il ransomware MedusaLocker \u00e8 emerso per la prima volta nel settembre 2019, infettando e crittografando le macchine Windows in tutto il mondo. Sono stati segnalati attacchi MedusaLocker in pi\u00f9 settori, in particolare il settore sanitario che ha subito una grande quantit\u00e0 di attacchi ransomware durante la pandemia COVID-19.<\/p>\n\n\n\n<p>Al fine di massimizzare le possibilit\u00e0 di crittografia dei file sulla macchina compromessa, MedusaLocker riavvia la macchina in modalit\u00e0 provvisoria prima dell&#8217;esecuzione. Questo metodo viene utilizzato per evitare strumenti di sicurezza che potrebbero non essere eseguiti all&#8217;avvio del computer in questa modalit\u00e0.<\/p>\n\n\n\n<p>MedusaLocker evita di crittografare i file eseguibili, molto probabilmente per evitare di rendere inutilizzabile il sistema di destinazione per il pagamento del riscatto. Per renderlo ancora pi\u00f9 pericoloso, utilizza una combinazione di AES e RSA-2048, rendendo praticamente impossibile la procedura di brute-force della crittografia.<\/p>\n\n\n\n<p>Recentemente, ci sono state segnalazioni che affermano che AKO, una variante di MedusaLocker, ha aggiunto un elemento di ricatto, minacciando di rilasciare pubblicamente file rubati. <\/p>\n\n\n\n<h3>Analisi del malware<\/h3>\n<p>Quando il file viene eseguito, carica prima le informazioni che verranno utilizzate durante il processo di crittografia, come la chiave pubblica RSA. Questa chiave viene utilizzata per crittografare la chiave dell&#8217;algoritmo AES utilizzato per crittografare i file. In altre parole, MedusaLocker utilizza una combinazione di AES + RSA-2048. Utilizza la crittografia AES per crittografare i file, quindi l&#8217;AES viene crittografato utilizzando la chiave pubblica RSA incorporata nel campione.<\/p>\n<p>Appena avviato vengono scritti su disco due file:<\/p>\n<ul>\n<li><span>C:\\Users\\Louise\\AppData\\Roaming\\KEY.FILE<\/span><\/li>\n<li><span>C:\\Users\\Louise\\Desktop\\Recovery_Instructions.mht<\/span><\/li>\n<\/ul>\n<p>Rispettivamente la chiave per la cifratura e il file con le istruzioni per pagare il riscatto e recuperare i file.<\/p>\n<p>MedusaLocker carica anche due elenchi di processi e servizi che verranno terminati ed eliminati durante la sua esecuzione per garantire che qualsiasi file che potrebbe contenere informazioni preziose non venga esaminato dalle modifiche da parte dei processi e dei servizi in questi elenchi. Questi elenchi includono processi e servizi come database, server web, soluzioni di sicurezza, ecc. Dopo che il processo \u00e8 stato eseguito il malware controller\u00e0 se il mutex hardcoded all&#8217;interno del registro con nome &#8220;{8761ABBD-7F85-42EE-B272-A76179687C63}&#8221; esiste, in caso contrario, lo creer\u00e0. I mutex vengono solitamente utilizzati dagli autori di malware per evitare l&#8217;infezione di un sistema da istanze diverse dello stesso malware, inoltre possono essere utilizzati per verificare se il malware \u00e8 gi\u00e0 in esecuzione su un sistema. Continuando\u00a0 il malware controller\u00e0 con quali privilegi \u00e8 in esecuzione queste informazioni possono essere ottenute dal sistema utilizzando l&#8217;API denominata GetTokenInformation che pu\u00f2 essere utilizzata per ottenere un elenco dei privilegi abilitati e disabilitati detenuti da un token di accesso. Se non \u00e8 in esecuzione con privilegi amministrativi, eseguir\u00e0 il bypass UAC. Questa \u00e8 una nota tecnica di bypass del controllo dell&#8217;account utente osservata in altre famiglie di malware come Trickbot nelle sue prime iterazioni e LockBit per citarne alcuni. MedusaLocker utilizza i metodi CMSTPLUA e ICMLuaUtil per l&#8217;elevazione a privilegi amministrativi.<\/p>\n<p>Vengono poi eseguiti una serie di comandi per cancellare i backups e le opzioni di recupero:<\/p>\n<ul>\n<li><em>vssadmin.exe Delete Shadows \/All \/Quiet<\/em><\/li>\n<li><em>bcdedit.exe \/set {default} recoveryenabled No<span>\u00a0<\/span><\/em><span>&amp;\u00a0<\/span><em>bcdedit.exe \/set {default} bootstatuspolicy ignoreallfailures<\/em><\/li>\n<li><em>wbadmin DELETE SYSTEMSTATEBACKUP<span>\u00a0<\/span><\/em><span>&amp;\u00a0<\/span><em>wbadmin DELETE SYSTEMSTATEBACKUP -deleteOldest<\/em><span>:<\/span><\/li>\n<li><em>wmic.exe SHADOWCOPY \/nointeractive<\/em><\/li>\n<\/ul>\n\n\n\n<figure class=\"wp-block-image size-large\"><img decoding=\"async\" src=\"https:\/\/fortgale.com\/news\/wp-content\/uploads\/sites\/2\/2021\/07\/Immagine-2021-07-26-141611-1.png\" alt=\"\" class=\"wp-image-2996\" loading=\"lazy\" \/><\/figure>\n\n\n\n<p> Per crittografare il pi\u00f9 possibile localmente e in remoto, MedusaLocker esegue un&#8217;enumerazione della rete locale utilizzando i pacchetti ICMP, questo metodo \u00e8 noto come ping sweep o ICMP sweep e viene utilizzato per cercare un host live in un intervallo di rete. Infine, crittografer\u00e0 i file in base a delle sue regole per evitare determinate estensioni di file e cartelle. <\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Analisi Statica<\/h2>\n\n\n\n<h4 class=\"wp-block-heading\">Tag<\/h4>\n\n\n\n<p class=\"has-text-color has-white-color\"><span style=\"background-color:#e91e63\" class=\"has-inline-background\"><strong>Ransomware<\/strong><\/span><\/p>\n\n\n\n<p><strong>Dettagli<\/strong><\/p>\n\n\n\n<figure class=\"wp-block-table is-style-stripes\"><table class=\"\"><tbody><tr><td>FILENAME<\/td><td>64CO.EXE<\/td><\/tr><tr><td>MD5<\/td><td>A80B79DE02D6881D5E54AFCEFA38298A<\/td><\/tr><tr><td>SHA1<\/td><td>E0D3E2612A757FF5BE818B114028A0E4BB562BC5<\/td><\/tr><tr><td>SHA256<\/td><td>033B4950A8F249B20EB86EC6F8F2EA0A1567BB164289D1AA7FB0BA51F9BBE46C<\/td><\/tr><tr><td>FILE-SIZE<\/td><td>1230848 (bytes)<\/td><\/tr><tr><td>ENTROPY<\/td><td>5.604<\/td><\/tr><tr><td>IMPHASH<\/td><td>86B16FE05257643ECB30B235FCECAC57<\/td><\/tr><tr><td>CPU<\/td><td>64-BIT<\/td><\/tr><tr><td>VIRUSTOTAL<\/td><td>35\/70<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<h2 class=\"wp-block-heading\"> Indicatori di Compromissione (IOC) <\/h2>\n\n\n\n<figure class=\"wp-block-table is-style-stripes\"><table class=\"\"><tbody><tr><td>Indirizzo<\/td><td> 62.182.158[.]226 <\/td><\/tr><tr><td> SHA256 <\/td><td> 033B4950A8F249B20EB86EC6F8F2EA0A1567BB164289D1AA7FB0BA51F9BBE46C <\/td><\/tr><tr><td> reg_key <\/td><td> HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\\MSFEEditor <\/td><\/tr><tr><td> reg_value <\/td><td> &#8220;C:\\Users\\user\\AppData\\Local\\Temp\\64CO.exe&#8221; e <\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Il ransomware MedusaLocker \u00e8 emerso per la prima volta nel settembre 2019, infettando e crittografando le macchine Windows in tutto il mondo. Sono stati segnalati attacchi MedusaLocker in pi\u00f9 settori, in particolare il settore sanitario che ha subito una grande quantit\u00e0 di attacchi ransomware durante la pandemia COVID-19. Al fine di massimizzare le possibilit\u00e0 di [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":2696,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[3],"tags":[],"class_list":["post-2973","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-cyber-security-news"],"_links":{"self":[{"href":"https:\/\/fortgale.com\/blog\/wp-json\/wp\/v2\/posts\/2973","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/fortgale.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/fortgale.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/fortgale.com\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/fortgale.com\/blog\/wp-json\/wp\/v2\/comments?post=2973"}],"version-history":[{"count":0,"href":"https:\/\/fortgale.com\/blog\/wp-json\/wp\/v2\/posts\/2973\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/fortgale.com\/blog\/wp-json\/"}],"wp:attachment":[{"href":"https:\/\/fortgale.com\/blog\/wp-json\/wp\/v2\/media?parent=2973"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/fortgale.com\/blog\/wp-json\/wp\/v2\/categories?post=2973"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/fortgale.com\/blog\/wp-json\/wp\/v2\/tags?post=2973"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}