21 juli 2022

Luna in Rust: nieuwe ransomwaregroep duikt op met platformonafhankelijke programmeertaal

Onderzoekers van Kaspersky ontdekten een nieuwe ransomwaregroep die past in de trend van actoren die overstappen op platformonafhankelijke functionaliteit. De groep, Luna, maakt gebruik van ransomware geschreven in Rust, een programmeertaal die eerder is gebruikt door onder andere BlackCat en Hive bendes. Hiermee kunnen ze gemakkelijk malware van het ene besturingssysteem naar het andere overbrengen. Deze ontdekking is samen met andere bevindingen te lezen in het recente crimeware-rapport dat Kaspersky gepubliceerde.

Luna zet malware in die is geschreven in Rust - de cross-platform mogelijkheden van Rust stellen de groep in staat om zich tegelijk te richten op Windows, Linux en ESXi-systemen. In de advertentie op het dark web, gespot door Kaspersky, staat dat Luna alleen werkt met Russischtalige filialen. Bovendien bevat de losgeldbrief die in de binary is gecodeerd een aantal spelfouten - wat tot de conclusie leidt dat de groep mogelijk Russisch spreekt. Omdat Luna pas net ontdekt is, zijn er nog maar weinig gegevens over de victimologie.

Platformonafhankelijke ransomware: pijlen gericht op meerdere besturingssystemen tegelijk

Luna volgt de recente trend van cross-platform ransomware, waarbij talen als Golang en Rust in het afgelopen jaar veelvoudig zijn geïmplementeerd door moderne ransomware bendes. Opmerkelijke voorbeelden zijn BlackCat en Hive, waarbij de laatste zowel Go als Rust gebruikt. Deze talen zijn platformonafhankelijk, zodat de ransomware die ermee wordt geschreven gemakkelijk van het ene platform naar het andere kan worden overgezet. De aanvallen kunnen dan op meerdere besturingssystemen tegelijk worden gericht.

Een ander onderzoek van Kaspersky geeft dieper inzicht in de activiteit van ransomware-actor Black Basta. Deze groep voert een nieuwe ransomwarevariant uit, geschreven in C++, die voor het eerst aan het licht kwam in februari 2022. Sindsdien heeft Black Basta meer dan 40 slachtoffers gemaakt, voornamelijk in de Verenigde Staten, Europa en Azië.

Zowel Luna als Black Basta richten zich op ESXi-systemen, maar ook op Windows en Linux, wat weer een andere ransomware-trend van 2022 is. ESXi is een hypervisor die onafhankelijk op elk besturingssysteem kan worden gebruikt. Sinds veel ondernemingen zijn gemigreerd naar virtuele machines op basis van ESXi, is het voor de aanvallers eenvoudiger geworden om de data van de slachtoffers te versleutelen.

Jornt van der Wiel, securityexpert bij Kaspersky: "De trends die we eerder dit jaar schetsten, lijken aan kracht te winnen. We zien dat steeds meer bendes cross-platform talen gebruiken voor het schrijven van hun ransomware. Hierdoor kunnen ze hun malware op verschillende besturingssystemen inzetten. De toename van aanvallen op virtuele ESXi-machines is alarmerend en we verwachten dat steeds meer ransomwarefamilies dezelfde strategie zullen volgen.”

Je kunt jezelf en je bedrijf beschermen tegen ransomware-aanvallen door openbare netwerken te vermijden, de verdedigingsstrategie te richten op het detecteren van laterale bewegingen en data-exfiltratie naar het internet, en cybersecuritytrainingen aan te bieden aan werknemers.

Lees meer over de opkomende ransomware-groepen op Securelist.