Surgió "Prinz Eugen", un nuevo ransomware basado en Go que prioriza la encriptación de los archivos modificados recientemente para maximizar el impacto en el negocio. Los atacantes utilizan credenciales RDP robadas y software de gestión remota (RMM), evitando el modelo RaaS y no dejando notas de rescate en el sistema para evadir la detección. Su estrategia busca reducir el rastro forense, moviendo las comunicaciones de extorsión a canales externos.

Una nueva operación de ransomware llamada ‘Prinz Eugen’ prioriza los archivos modificados recientemente para su cifrado y no deja ninguna nota de rescate en el sistema.

Una investigación de Threatdown, el brazo de ciberseguridad empresarial de Malwarebytes, encontró que los hackers de Prinz Eugen tienen un estilo de "manos en el teclado" y prefieren utilizar software legítimo de monitoreo y gestión remota (RMM) y herramientas de living-off-the-land.

Según los investigadores, es probable que el acceso inicial se logre a través de credenciales de RDP robadas, seguido de la descarga y ejecución manual de la carga útil principal, ‘servertool.exe’.


En un incidente investigados, los investigadores observaron el uso de la herramienta RMM RemotePC y una cuenta de administrador de puerta trasera que proporcionaba persistencia.

A diferencia de muchas operaciones de extorsión modernas, Prinz Eugen no opera bajo el modelo de ransomware como servicio (RaaS), y sus desarrolladores no están reclutando afiliados actualmente.

Actualmente, el sitio de filtración de datos del actor de amenazas solo enumera tres víctimas, cada una de las cuales muestra que los hackers realizan el cifrado de datos, la exfiltración, o ambos. Sin embargo, la comunidad de ciberseguridad tiene conocimiento de más organizaciones impactadas por el ransomware Prinz Eugen.

Estrategia de cifrado

Un análisis de un ataque de Prinz Eugen reveló que el malware basado en Go prioriza el cifrado de los archivos modificados más recientemente. Cuando varios archivos comparten la misma marca de tiempo, se procesan en orden alfabético.

Los investigadores de Threatdown creen que este enfoque pretende maximizar el impacto en las víctimas al dirigirse a archivos que tienen más probabilidades de ser críticos para el negocio y estar en uso activo, aumentando la presión para pagar el rescate.

La muestra analizada revisa los directorios recursivamente sin límite de profundidad y sin exclusiones, y cifra prácticamente todos los archivos excepto aquellos con la extensión .prinzeugen, que Prinz Eugen utiliza para los archivos cifrados.


El ransomware emplea el cifrado ChaCha20-Poly1305 con una clave maestra de 32 bytes, un vector de inicialización aleatorio para cada archivo y una función de derivación de claves basada en Argon2id, SHA-256 y HKDF-SHA256.

El proceso de cifrado se lleva a cabo en fragmentos de 1 MB y la integridad del archivo se comprueba mediante la función hash SHA-256.


Los investigadores notaron que cuando el malware utiliza la bandera --delete para eliminar el archivo original después de cifrarlo, se realiza una comprobación para asegurarse de que el archivo pueda ser descifrado antes de eliminarlo del sistema.

Para evitar que se recupere la clave de cifrado, el ransomware Prinz Eugen la sobrescribe con ceros, fuerza la recolección de basura para eliminarla de la memoria y luego se autoelimina del disco.

El análisis del cifrador no mostró ninguna funcionalidad para dejar una nota de rescate de texto o cambiar el fondo de pantalla del escritorio. Los investigadores de Threatdown afirman que la ausencia de una nota de rescate "es una táctica que vemos más a menudo entre grupos de ransomware organizados".

Esto se hace normalmente para reducir la huella forense y dificultar que el paso de la extorsión sea detectado automáticamente.

"Al trasladar las comunicaciones del rescate completamente fuera de banda (a través de correo electrónico directo, contacto telefónico o portales de víctimas en la dark-web), el actor reduce los artefactos forenses y complica la detección automatizada de la fase de extorsión", afirman los investigadores [Deep dive into Prinz Eugen].

Los investigadores identificaron al menos cinco víctimas de Prinz Eugen, señalando que en el caso de la brecha de Standard Bank, [actualización del incidente de datos], el atacante exigió un rescate de 1 BTC y fue rechazado.

El informe de ThreatDown proporciona una lista de indicadores de compromiso para ayudar tanto a organizaciones como a investigadores a analizar, detectar y defenderse contra los ataques de ransomware Prinz Eugen.

Fuente:
BleepingComputer