DECAF-Ransomware
Die DECAF Ransomware zeigt den wachsenden Trend unter Cyberkriminellen, sich von den typischen Programmiersprachen zugunsten weniger beliebter oder exotischer Optionen zu entfernen. Ziel ist es, die Wahrscheinlichkeit ihrer bedrohlichen Kreationen zu erhöhen, damit sie nicht von Anti-Malware- und Cybersicherheitslösungen entdeckt werden. Eine der aufkommenden Entscheidungen in der Bedrohungslandschaft und diejenige, die bei der Entwicklung von DECAF verwendet wurde, ist Go, eine quelloffene, objektorientierte und plattformübergreifende Sprache. Andere Ransomware-Bedrohungen, die ebenfalls mit Go geschrieben wurden, sind Babuk, HelloKitty und Hive.
Schädliche Funktionalität
Beim Einsatz auf den kompromittierten Systemen initiiert die DECAF Ransomware ihren Verschlüsselungsprozess, der die Daten des Opfers sperrt. Die Bedrohung beruht auf einem Dateifiltermechanismus, um irreparable Schäden am Betriebssystem zu vermeiden oder Dateien versehentlich doppelt zu verschlüsseln. Als solches scannt und ignoriert es alle Dateien, die eine '.decaf'-Erweiterung namens README.txt tragen oder mit einer eingebetteten Liste von Dateien, Ordnern und Erweiterungen übereinstimmen, die von den Angreifern ausgewählt wurden.
Nachdem die verschlüsselte Kopie jeder Zieldatei erstellt wurde, muss das Original vom System gelöscht werden. Damit die Opfer die Originale nicht wiederherstellen können, verwendet DECAF die cipher.exe, die für jedes Verzeichnis aufgerufen wird und dort die gelöschten Daten überschreiben soll. Die Lösegeldforderung der Bedrohung wird als README.txt-Datei abgelegt und eine Kopie wird in jeden Ordner mit den verschlüsselten Dateien gelegt.
In aktiver Entwicklung
Laut infosec-Experten befindet sich die DECAF Ransomware noch in der Entwicklung. Die Cyberkriminellen fügen schnell weitere Funktionen und Anti-Erkennungstechniken hinzu. Die Änderungen sind deutlich zu erkennen, wenn man die erste Debug-Version vergleicht, die von der Vorabversion von DECAF abgefangen wurde. Die Angreifer erhöhten die Komplexität der Bedrohung durch das Hinzufügen von String-Verschleierung. Die versteckten Strings werden zur Laufzeit über verschiedene benutzerdefinierte Funktionen enthüllt. Es wurden bereits mehrere neue DECAF-Versionen in freier Wildbahn beobachtet. Um ihre kritische Infrastruktur zu schützen, müssen Unternehmen ihre Cybersicherheitsrichtlinien anpassen, um die sich ändernden Angriffsmuster der Bedrohungsakteure zu berücksichtigen.
