DragonForce es la última marca de ransomware en pasar de publicaciones ruidosas en foros a operaciones completas de RaaS (Ransomware como Servicio), atacando tanto entornos Windows como VMware ESXi. Detectado por primera vez en diciembre de 2023 en BreachForums, el grupo promociona datos robados y utiliza un blog en la dark web para presionar a sus víctimas.

DragonForce es la última marca de ransomware en pasar de publicaciones ruidosas en foros a operaciones completas de RaaS (Ransomware como Servicio), atacando tanto entornos Windows como VMware ESXi.

Visto por primera vez en diciembre de 2023 en BreachForums, el grupo anuncia datos robados y utiliza un blog en la dark web para presionar a sus víctimas. La primera publicación filtrada reveló su nueva operación al estilo cartel.

El grupo construyó su carga útil a partir de código filtrado de LockBit 3.0 y Conti, pero lo ajustó para un cifrado flexible y de alta velocidad en discos locales y recursos compartidos de red.

Los operadores suelen obtener acceso a través de servidores de escritorio remoto expuestos, luego usan herramientas como Cobalt Strike y SystemBC para moverse lateralmente antes de lanzar el ransomware. El impacto varía desde servidores de archivos y máquinas virtuales cifradas hasta datos robados preparados para su publicación.

Analistas de S2W identificaron una versión personalizada de DragonForce que oculta casi todas las cadenas de texto con una rutina de desofuscación propia y depende de ChaCha8 más RSA-4096 para el cifrado de archivos.

Su investigación muestra que las banderas de línea de comandos permiten a los afiliados elegir modos locales, solo de red o mixtos, e incluso ajustar ratios de cifrado parcial para acelerar los ataques. Mientras que su DLS (Sistema de Registro Dinámico) muestra el flujo de trabajo interno, desde la desencriptación de la configuración hasta la eliminación de procesos y el cifrado de archivos.

Durante una búsqueda más amplia de amenazas, los investigadores de S2W obtuvieron un descifrador funcional tanto para sistemas Windows como ESXi, dando a algunas víctimas una vía de recuperación sin pagar rescate.

La herramienta para Windows busca archivos con la extensión .RNP, mientras que la versión para ESXi verifica archivos .RNP_esxi que también terminan con un valor mágico de ocho bytes llamado build_key. Además, mapea toda la cadena de descifrado, desde la carga de claves RSA hasta el análisis de metadatos y la restauración de archivos.

Este desglose técnico completo ofrece a los defensores información sobre las herramientas de DragonForce y las opciones de recuperación.

Flujo de trabajo de cifrado y descifrado

Al ejecutarse, el ransomware primero descifra su configuración interna usando ChaCha8, luego lee opciones como el modo de cifrado y la ruta de destino.

Un comando común observado por los analistas de S2W es dragonforce.exe -m net -p C:\\ -j 8, que indica al malware que ataque objetivos de red bajo esa ruta con múltiples hilos de trabajo.

Mientras escanea rutas locales y remotas, DragonForce omite áreas críticas del sistema y luego cifra los archivos seleccionados. Para imágenes de disco virtual grandes, cifra solo fragmentos en lugar de todo el archivo para ahorrar tiempo.

Al final de cada archivo, escribe 534 bytes de metadatos con una clave ChaCha8 y nonce cifrados con RSA, además de banderas que almacenan el modo, ratio y tamaño original.

Fuentes:
https://cybersecuritynews.com/researchers-breakdown-dragonforce-ransomware/