Este documento recoge el análisis de la muestra de código dañino identificada por la firma MD5 22f2ed67b2aec55d54c9864f98e0ab85 compilada para plataformas Linux (x64). El binario analizado pertenece a la familia de ransomware apodada como EXX o RansomEXX, también conocido como Defray777 o RansomX. Este ransomware, vinculado con el actor GOLD DUPONT1, ha estado involucrado en múltiples incidentes desde 20182 y ha afectado a organismos gubernamentales y empresas críticas.

Accede al informe aquí.

En mayo de 2020 el sistema judicial3 así como el Departamento de Transporte del estado de Texas (TxDOT)4 se vio afectado por este ransomware. La multinacional japonesa Konica Minolta5 así como el sistema judicial de Brasil6 fueron también objetivo de RansomEXX en julio y noviembre, respectivamente, de ese mismo año. La empresa brasileña Embraer, considerada como uno de los mayores fabricantes de aviones civiles de la actualidad, no solo se vio afectada7 por RansomEXX a finales de 2020, sino que sus datos fueron filtrados después de que el fabricante de aviones se negara a ceder ante la, cada vez más común, doble extorsión8. En el último año, determinados grupos de atacantes han utilizado, como vía de entrada, ciertas vulnerabilidades en productos VMWare ESXi para cifrar9 sus discos duros virtuales mediante EXX.

RansomEXX se caracteriza por utilizar la librería open-source mbed TLS10, tanto en su variante Windows como en Linux, para llevar a cabo las labores de cifrado. Dicha librería es empleada para generar claves AES con las que cifrar los ficheros de la víctima usando el cifrado por bloques AES-256 en modo ECB (Electronic CodeBook). Posteriormente, cada clave AES es cifrada con una clave pública RSA-4096, embebida en el cuerpo del binario, que será adjuntada a cada archivo cifrado (cuya extensión, para la muestra actual, es “.31gs1-” seguido de 8 caracteres en hexadecimal). A diferencia de la variante EXX para entornos Windows11, la muestra analizada no implementa funcionalidades adicionales más allá que el propio cifrado de los ficheros (no finaliza el espacio libre en disco, no emplea técnicas anti-análisis y no finaliza servicios y procesos).

Fuente: CCN-CERT