Ο source code του δημοφιλούς Dharma ransomware βρέθηκε προς πώληση σε δύο ρωσικά hacking forums το Σαββατοκύριακο.
Το FBI έχει δηλώσει ότι το Dharma ransomware αποτελεί το δεύτερο πιο κερδοφόρο ransomware τα τελευταία χρόνια, έχοντας λάβει από τα θύματα περισσότερα από 24 εκατομμύρια δολάρια μεταξύ Νοεμβρίου 2016 και Νοεμβρίου 2019.
Τώρα, ο source code του πωλείται σε hacking forums για μόλις $ 2.000, γεγονός που έχει θορυβήσει τους ερευνητές ασφαλείας.
Αρκετοί ransomware ειδικοί πιστεύουν ότι η πώληση του κώδικα του Dharma ransomware θα οδηγήσει πιθανότατα στην ευρύτερη διαρροή του στο διαδίκτυο. Αυτό, με τη σειρά του, θα οδηγήσει στην ευρύτερη διάδοσή του μεταξύ των πολλαπλών ομάδων εγκληματικότητας στον κυβερνοχώρο. Επομένως οι επιθέσεις θα αυξηθούν.
Οι ειδικοί ανησυχούν γιατί το Dharma είναι ένα προηγμένο ransomware, το οποίο δημιουργήθηκε από έναν έμπειρο δημιουργό malware. Το πρότυπο κρυπτογράφησής του είναι πολύ «προχωρημένο».
Η μόνη φορά που το ransomware “αποκρυπτογραφήθηκε”, ήταν όταν μια ομάδα ατόμων διέρρευσε τα κύρια κλειδιά αποκρυπτογράφησης . Δηλαδή η αποκρυπτογράφηση δεν έγινε δυνατή μέσω κάποιου σφάλματος στο πρότυπο κρυπτογράφησης.
Μια σύντομη ιστορία του Dharma ransomware
Το Dharma ransomware εμφανίστηκε για πρώτη φορά με το όνομα CrySiS το καλοκαίρι του 2016.
Το CrySis ήταν μια Ransomware-as-a-Service (RaaS) επιχείρηση. Ο δημιουργός τους CrySiS δημιούργησε μια υπηρεσία όπου οι πελάτες (άλλες εγκληματικές συμμορίες) μπορούσαν να δημιουργήσουν τις δικές τους εκδόσεις του ransomware για να το διανείμουν στα θύματα – συνήθως μέσω spam εκστρατειών, exploit kits και brute-force επιθέσεων.
Ωστόσο, το Νοέμβριο του 2016, κάποιος διέρρευσε το κλειδί αποκρυπτογράφησης του CrySiS κι έτσι το CrySiS RaaS εμφανίστηκε ξανά, δύο εβδομάδες μετά, με το όνομα Dharma.
Ορισμένα κλειδιά αποκρυπτογράφησης του Dharma διέρρευσαν επίσης τον Μάρτιο του 2017, όμως οι hackers δεν άλλαξαν την ονομασία του αυτή τη φορά και συνέχισαν να δρουν ανενόχλητοι, κάνοντας το Dharma Ransomware-as-a-Service μια από τις πιο ισχυρές και κερδοφόρες επιχειρήσεις.
Για χρόνια, υπήρξαν πολλές εκδόσεις του Dharma, καθώς το ransomware έλαβε πολλές ενημερώσεις και νέοι πελάτες θέλησαν να το διανείμουν σε όλο τον πλανήτη, δημιουργώντας τις δικές τους μοναδικές παραλλαγές.
Τα τελευταία δύο χρόνια, οι ransomware επιθέσεις έχουν γίνει πιο στοχευμένες. Αυτό το πρότυπο επίθεσης ακολούθησε και το Dharma.
Την άνοιξη του 2019, ένα νέο ransomware με το όνομα Phobos έκανε την εμφάνισή του. Οι ερευνητές ασφαλείας από τις Coveware και Malwarebytes ανακάλυψαν ότι το Phobos ήταν πανομοιότυπο με το Dharma ransomware.
Όμως, το Dharma συνέχιζε να χρησιμοποιείται με την αρχική του μορφή. Κατά τη διάρκεια του 2019, οι επιθέσεις ήταν 50-50.
Ο Jakub Kroustek, επικεφαλής ασφαλείας της Avast, εντόπισε τρεις νέες εκδόσεις του Dharma ransomware μόνο αυτή την εβδομάδα, πράγμα που σημαίνει ότι εγκληματικές ομάδες εξακολουθούν να το χρησιμοποιούν φανατικά ακόμη και σήμερα.
Ο John Fokker, επικεφαλής έρευνας στη McAfee, δήλωσε ότι ο source code του ransomware έχει διαρρεύσει εδώ και αρκετό καιρό, αλλά τώρα δημοσιεύτηκε σε πιο γνωστά hacking forums.
Ο Fokker ελπίζει τώρα ότι ο source code του Dharma θα βρεθεί τελικά στα χέρια των ερευνητών, ώστε να βρεθεί ένας τρόπος αποκρυπτογράφησης.
“Αν μπορέσουμε να αποκτήσουμε τον source code, ίσως μπορέσουμε να βρούμε κάποιες ατέλειες”, δήλωσε σήμερα ο Fokker.
