Firma de securitate IT Symantec a descoperit recent dovezi ca tot mai multi atacatori in cautare de recompense prin santaj (ransomware) folosesc masini virtuale (VM) pentru a-si rula atacurile ransomware pe computere compromise. Motivatia din spatele unei asemenea tactici consta in modul de operare de tip stealth.

Pentru a evita nasterea de suspiciuni sau declansarea aplicatiei software antivirus, actiunea de ransomware va fi “ascunsa” in cadrul unei masini virtuale in timpul criptarii de fisiere pe computerul gazda. Tactica reprezinta o evolutie de data recenta a fenomenului RagnarLocker din 2020. In acea instanta, atacul ransomware a fost derulat din interiorul unei masini virtuale Oracle VirtualBox Windows XP.

Investigatia desfasurata recent de Symantec a descoperit ca atacatorii au trecut recent de la VM folosind sistemul Windows XP la VM ruland Windows 7. Atacurile au fost realizate prin intermediul unor fisiere livrate sub diverse denumiri precum fuckyou.msi, fuck.msi, aa51978f.msi, s3c.msi etc.

Symantec nu a reusit sa obtina o imagine a masinii virtuale, insa actiunea probabila a instalarii fisierelor infectate a fost aceea a localizarii actiunii de ransomware pe discul masinii virtuale si pornirea automata a ei odata cu pornirea completa a sistemului de operare. Masina virtuala avea acces la fisierele si directoarele de pe computerul gazda, prin intermediul SharedFolders setat de fisierul infectat, fapt care a permis criptarea ilegala a fisierelor de pe computerul gazda.

Cele descoperite de Symantec arata ca atacatorii ransomware isi rafineaza continuu tacticile pentru a fi in fata programelor de detectie. Multi atacatori se bazeaza actualmente masiv pe instrumente legitime pentru a orchestra atacuri asupra retelelor vizate. Atacul ransomware in sine are toate sansele de a alerta sistemele de protectie ale tintei, asa ca prin mascarea lui intr-o masina virtuala apar sperante ca atacul sa nu fie descoperit. De aceea, Symantec avertizeaza firmele ca ar trebui sa opereze cu o vigilenta sporita din punct de vedere al instalarii neautorizate de masini virtuale in retelele proprii.