Un outil divulgué utilisé par l’opération Babuk Locker pour créer des exécutables de ransomware personnalisés est maintenant utilisé par un autre acteur de la menace dans une campagne très active ciblant les victimes dans le monde entier.

Babuk Locker était une opération de ransomware qui a été lancée au début de 2021 lorsqu’elle a commencé à cibler les victimes d’entreprises et à voler leurs données dans le cadre d’attaques par double extorsion.

Après avoir mené une attaque contre le service de police métropolitaine (MPD) de Washinton DC et avoir ressenti la pression des forces de l’ordre, le gang de ransomware s’est fermé en avril et est passé à un modèle d’extorsion de données sans chiffrement sous le nom de PayLoad Bin.

Fuite du constructeur de Babuk Locker

La semaine dernière, le chercheur en sécurité Kevin Beaumont a découvert que quelqu’un avait téléchargé le générateur de ransomware de l’opération Babuk sur VirusTotal.

Lorsque BleepingComputer a testé le constructeur, il était simpliste de générer un ransomware personnalisé.

Tout ce qu’un acteur de menace doit faire est de modifier la note de rançon ci-jointe pour inclure ses propres informations de contact, puis d’exécuter l’exécutable de construction pour créer des chiffreurs et des déchiffreurs de ransomware personnalisés qui ciblent Windows, VMware ESXi, Network Attached Storage (NAS) x86 et NAS appareils ARM.

Le constructeur Babuk avait l’habitude de lancer de nouvelles attaques

Peu de temps après que le constructeur a été divulgué en ligne, un acteur de la menace a commencé à l’utiliser pour lancer une campagne de ransomware très active.

À partir de mardi, une victime a signalé sur Reddit qu’elle avait été touchée par un ransomware se faisant appeler « Babuk Locker ».

Le chercheur en sécurité MalwareHunterTeam a également déclaré à BleepingComputer qu’ID Ransomware avait reçu une forte augmentation des soumissions Babuk Locker à partir du 29 juin. Ces victimes viennent du monde entier et les notes de rançon soumises contenaient toutes l’adresse e-mail de l’auteur de la menace.

Comme l’original…