Румынская компания Bitdefender выпустила бесплатный универсальный дешифратор для нового шифровальщика MortalKombat — он появился в январе 2023 года и уже успел засветиться в атаках на организации в США, на Филиппинах, в Великобритании и Турции.
Что известно о MortalKombat
MortalKombat построен на базе коммерческого конструктора вымогателей Xorist, известного с 2010 года. Xorist распространяется как билдер: злоумышленники могут собрать собственную версию малвари, настроив текст записки с требованием выкупа, её имя, список целевых расширений файлов, обои рабочего стола и расширение, которое получат зашифрованные файлы. Дешифратор для самого Xorist компания Emsisoft выпустила ещё в мае 2016 года.
По данным Cisco Talos, MortalKombat шифрует системные, прикладные, backup-файлы, базы данных и файлы виртуальных машин — как на диске жертвы, так и на удалённых ресурсах, подключённых как логические диски. Вредонос не ведёт себя как wiper и не удаляет теневые копии тома, но повреждает Windows Explorer, отключает окно команды «Выполнить» и убирает все приложения и папки из автозагрузки Windows. Также известно, что MortalKombat портит удалённые файлы в корзине, меняет имена и типы файлов и вносит изменения в реестр Windows для закрепления в системе. Кто стоит за кампанией и как организована схема монетизации — пока неизвестно.
По данным Bitdefender, MortalKombat распространяется через фишинговые письма и атакует открытые в сеть RDP-серверы. Малварь доставляется через BAT-загрузчик, который заодно устанавливает клиппер Laplas Clipper.
MortalKombat — не единственный вариант Xorist, замеченный за последние месяцы: в ноябре 2022 года Fortinet FortiGuard Labs описывала другую версию, оставляющую записку с требованием выкупа на испанском языке.
Контекст
Релиз дешифратора для MortalKombat — не единственная подобная новость последнего времени. Чуть больше месяца назад компания Avast опубликовала бесплатный дешифратор для шифровальщика BianLian, позволяющий жертвам восстановить заблокированные файлы без уплаты выкупа.
Источник: The Hacker News.