Un nuevo grupo de ransomware, cada vez más activo, que ha atacado a cerca de 200 organizaciones en menos de dos meses, da un giro diferente a sus esfuerzos de extorsión: No nos pagues a nosotros, paga a una organización benéfica. Hasta ahora, este grupo anónimo que, al menos públicamente, afirma estar impulsado por un sentimiento anticapitalista y su propia marca de benevolencia cibernética se dirige principalmente a los usuarios de Zimbra, una herramienta de colaboración en línea para el lugar de trabajo. "

•  Nuevo ransomware llamado MalasLocker
•  Su sitio onion dice en Español: "Somos malas... podemos ser peores" 
• Un ransomware que no pide rescate, pide una donación a cualquier organización benéfica

El ransomware MalasLocker ataca servidores Zimbra y y solicita donaciones benéficas

"A diferencia de los grupos de ransomware tradicionales, no te pedimos que nos envíes dinero", rezaba el texto de una nota de rescate publicada el 2 de abril en un foro en línea para usuarios de Zimbra. "Simplemente nos disgustan las corporaciones y la desigualdad económica. Simplemente te pedimos que hagas una donación a una organización sin ánimo de lucro que aprobamos. Es una situación en la que todos salimos ganando, probablemente puedas obtener una deducción fiscal y buenas relaciones públicas por tu donación, si quieres."

El grupo está utilizando un ransomware denominado MalasLocker , el sitio de noticias tecnológicas que también alberga foros en los que los usuarios empezaron a informar en abril de que Zimbra había sufrido una serie de ataques. Por otra parte, los usuarios de un foro dedicado a Zimbra empezaron a quejarse de problemas de ransomware a partir de finales de marzo,

El sitio web de la red oscura del ransomware enumera tres empresas como víctimas, junto con una lista de otras 170 entidades que figuran como "Defaulters". Las tácticas del grupo salieron a la luz el miércoles después de que Distributed Denial of Secrets, un sitio web de defensa de la transparencia y periodismo que aloja datos pirateados, escribiera sobre el pirateo del grupo al Harita Group, un conglomerado indonesio de minería y extracción de recursos naturales.

No fue posible contactar con un representante de Synacor, la empresa propietaria de Zimbra, para que hiciera comentarios. Los correos electrónicos del grupo publicados por los usuarios del foro no funcionaban el jueves.

El grupo de ransomware escribió que no se dirigirá a las empresas con sede en África, América Latina "y otros países colonizados, con la excepción de unos pocos grandes de los inversores extranjeros o industrias de mierda." El grupo se dirigirá a las pequeñas empresas en los EE.UU., Rusia y Europa "con exclusión de Ucrania, ya que están lidiando con suficiente mierda en este momento."

"No creemos que sean todos malos, sólo que su relativa prosperidad se basa en el robo y les robaremos lo que podamos", escribió el grupo. "De todas formas no nos importa, tenemos tanta simpatía por ellos como ellos por nosotros. Pueden pagar y conseguir descifrar sus archivos, o no hacerlo y conseguir que se filtren. "

Las entidades a las que se dirige el grupo pueden aportar pruebas de que han donado a una organización benéfica o entregar el dinero al grupo, que lo donará a una organización benéfica, explicó el grupo.

"El ransomware es una herramienta excelente para los hacktivistas por las mismas razones que lo es para los extorsionistas con ánimo de lucro: las barreras de entrada son bajas y tiene el potencial de causar trastornos masivos", dijo Brett Callow, analista de amenazas de la empresa de ciberseguridad Emsisoft

Una demanda de rescate inusual

El descifrador también creará notas de rescate llamadas README.txt que vienen con una demanda de rescate inusual para recibir un descifrador y evitar la filtración de datos robados: una donación a una organización benéfica sin fines de lucro que "aprueban". 

"A diferencia de los grupos de ransomware tradicionales, no le pedimos que nos envíe dinero. Simplemente no nos gustan las corporaciones y la desigualdad económica", dice la nota de rescate de MalasLocker. "Simplemente le pedimos que haga una donación a una organización sin fines de lucro que aprobemos. Es beneficioso para todos, probablemente pueda obtener una deducción de impuestos y buenas relaciones públicas de su donación si lo desea". 

Las notas de rescate contienen una dirección de correo electrónico para contactar a los actores de la amenaza o una URL TOR que incluye la dirección de correo electrónico más reciente del grupo. La nota también tiene una sección de texto codificado en Base64 en la parte inferior que se requiere para recibir un descifrador.

Fuentes:

https://cyberscoop.com/ransomware-charity-malaslocker/
https://www.bleepingcomputer.com/news/security/malaslocker-ransomware-targets-zimbra-servers-demands-charity-donation/