Redazione RHC:15 Novembro 2025 13:05
Os pesquisadores do Cisco Talos detectaram uma onda ativa de ataques usando um novo ransomware chamado Kraken. O grupo começou a operar em fevereiro de 2025 e usa métodos de dupla extorsão, sem visar setores específicos. As vítimas incluem empresas do Estados Unidos, Reino Unido, Canadá, Dinamarca, Panamá e Kuwait.
Kraken infecta Sistemas Windows, Linux e VMware ESXi, distribuindo versões separadas do ransomware para cada sistema. O programa usa o . zpsc extensão e deixa uma nota, ” readme_you_ws_hacked.txt “, ameaçando publicar os dados em seu site de vazamento. Em um caso, os invasores exigiram um resgate de aproximadamente US$ 1 milhão em Bitcoin.
Em um ataque, os invasores exploraram um Vulnerabilidade SMB para obter acesso inicial, em seguida, ganhou uma posição no sistema usando Tunelamento da Cloudflare ferramenta e usou o SSHFS utilitário para roubar dados. Depois de ganhar privilégios, eles movido pela rede via RDP e implantou ransomware em outras máquinas.
A Kraken opera com uma variedade de parâmetros, incluindo Criptografia total ou parcial , seleção de tamanho de bloco, atraso de execução e Teste de desempenho . Antes da criptografia, o programa avalia o desempenho do sistema e seleciona o modo mais eficiente , ajudando a infligir dano máximo sem causar sobrecarga ou suspeita.
No Windows, o Kraken é implementado como um Aplicativo C++ de 32 bits, possivelmente embalado em Ir . Ele desativa WoW64 o sistema de arquivos redireciona, obtém privilégios de depuração, interrompe os serviços de backup, exclui pontos de restauração e esvazia a Lixeira. Apenas os diretórios que permitem que a vítima entre em contato com a operadora permanecem acessíveis.
O ransomware ataca simultaneamente bancos de dados SQL, unidades locais, compartilhamentos de rede e máquinas virtuais Hyper-V, usando comandos do PowerShell para desligar as VMs e obter os caminhos para seu armazenamento . Ele evita pastas do sistema e arquivos executáveis para preservar a funcionalidade do sistema operacional.
O A versão Linux/ESXi é escrita em C++ e usos ferramenta transversal NG . O programa detecta primeiro o tipo de sistema, adaptando seu comportamento para ESXi, Nutanix, Ubuntu ou Synology . Em ambientes ESXi, ele desliga as máquinas virtuais antes da criptografia. Ele também usa mecanismos de análise de bypass: modo daemon, ignorando os sinais SIGCHLD e SIGHUP e, após a criptografia, executa um script de limpeza que exclui logs, histórico do shell e o próprio binário.
A Kraken está ativa na dark web. Em seu site, o grupo anunciou A criação de um fórum clandestino , ” O Conselho do Último Refúgio “, que visa fornecer uma plataforma anônima para a comunidade cibercriminosa. De acordo com os moderadores, ex-membros do Olá Kitty e o grupo de compra de exploits WeaCorp aderiram ao projeto. De acordo com Talos, O HelloKitty serviu de inspiração para o Kraken: ambos os grupos usam nomes idênticos para notas de resgate e imagens de blog.
Kraken é um dos programas de ransomware mais avançados tecnologicamente disponíveis atualmente, capaz de avaliar o desempenho do sistema antes de atacar, adaptando-se a diferentes plataformas e empregando técnicas sofisticadas de ofuscação. Além de sua sofisticada arquitetura de ransomware, o grupo está ativo na dark web, promovendo sua plataforma e recebendo suporte de cibercriminosos notórios. Dada a sua escala e velocidade de desenvolvimento, A Kraken pode se tornar uma grande ameaça à infraestrutura corporativa em um futuro próximo .
Redação
A equipe editorial da Red Hot Cyber é composta por um grupo de indivíduos e fontes anônimas que colaboram ativamente para fornecer informações e notícias antecipadas sobre segurança cibernética e computação em geral.