El nuevo ransomware “Rorschach” se propaga a través de un producto comercial

Los actores de amenazas han desplegado una nueva y única cepa de ransomware utilizando la herramienta Palo Alto Cortex XDR Dump Service Tool, un producto de seguridad comercial.

Bautizado como Rorschach, el malware fue descubierto por Check Point Research (CPR) y Check Point Incident Response Team (CPIRT) y comentado en un aviso publicado hoy mismo.

“A diferencia de otros casos de ransomware, el actor de la amenaza no se escondió detrás de ningún alias y parece no tener afiliación a ninguno de los grupos de ransomware conocidos”, escribieron Jiri Vinopal, Dennis Yarizadeh y Gil Gekker de CPR.

“Esos dos hechos, rarezas en el ecosistema del ransomware, despertaron el interés de CPR y nos impulsaron a analizar a fondo el malware recién descubierto”.

El ransomware tiene capacidad de autorreplicación cuando se ejecuta en un controlador de dominio (DC). También se observó que borraba los registros de eventos de los dispositivos infectados.

“Además, es extremadamente flexible, operando no sólo en base a una configuración incorporada, sino también a numerosos argumentos opcionales que le permiten cambiar su comportamiento según las necesidades del operador”, escribió el equipo de CPR en el aviso.

“Aunque parece haberse inspirado en algunas de las familias de ransomware más infames, también contiene funcionalidades únicas, raramente vistas entre el ransomware, como el uso de syscalls directas”.

Una de las similitudes con las familias de ransomware existentes es el formato de la nota de rescate, que se parece a una del ransomware Yanluowang en algunos casos y a DarkSide en otros.

Según el experto en seguridad, Rorschach es el ransomware más rápido y uno de los más elaborados que ha encontrado la empresa.

“Habla de la naturaleza rápidamente cambiante de los ciberataques y de la necesidad de que las empresas desplieguen una solución que dé prioridad a la prevención y que pueda impedir que Rorschach cifre sus datos”, concluyó Shykevich.

Con información de Europa Press.