Característica del Ransomware RegretLocker permite cifrar unidades de disco duro virtuales

RegretLocker es un ransomware descubierto recientemente a mediados del mes de Octubre que demuestra una apariencia simple, debido que utiliza como medio para comunicarse con las víctimas un correo electrónico en lugar de un sitio web Tor para pagos, no utiliza notas de rescate largas y agrega de la extensión “.mouse” a los nombres de archivos cifrados. 

Nota de rescate de RegretLocker

A simple vista puede parecer un ransomware débil, pero detrás de esa apariencia hay varias características avanzadas que los investigadores han ido descubriendo poco a poco. Entre ellas la más reciente la capacidad de montar discos duros de las máquinas virtuales que se encuentren en el dispositivo afectado.

Es bien sabido que cuando se crea una máquina virtual con Windows Hyper-V, un disco duro virtual es creado y son almacenados con un formato de archivo VHD o VHDX. Estos archivos de disco duro virtuales contienen una imagen del disco, como la tabla de particiones de la unidad y sus particiones, y al igual que los disco duros normales, pueden tener un tamaño de unos pocos gigabytes hasta varios terabytes.

La reciente característica descubierta por los expertos, es que RegretLocker utiliza una técnica para montar los archivos de disco duros virtuales para poder cifrar cada uno individualmente. Para hacer esto, el Ransomware utiliza las API OpenVirtualDisk, AttachVirtualDisk y las funciones GetVirtualDiskPhysicalPath para montarlos.

Montado de un archivo VHD

En el código se puede observar la funcionalidad, en la que el ransomware está específicamente buscando por un VHD y montándolo una vez es detectado. Una vez que la unidad virtual es montada como un disco físico en Windows, el Ransomware procede a encriptarlo. Además, RegretLocket utiliza una característica utilizada por otros actores detrás de los Ransomware REvil (Sodinokibi), Ryuk, Conti, ThunderX/Ako, Medusa Locker, SamSam, y LockerGoga. La cual consiste en utilizar la API Windows Restart Manager para terminar procesos o servicios de Windows que mantengan algún archivo abierto durante el cifrado. Según uno de los expertos, al utilizar esta API, si el nombre del proceso contiene “vnc”, “ssh”, “mstc”, “System,” o “svchost.exe”, el cifrado no podrá ser completado. Por ello, el actor malicioso detrás de RegretLocket agrego una lista de excepciones para prevenir que terminen los procesos de programas críticos o utilizados por el actor malicioso para acceder al sistema comprometido.

Lista de excepción para la API Windows Restart Manager

Aunque RegretLocker no está muy activo, al ser una nueva familia de Ransomware, nos mantendremos alertas a cualquier novedad y características de esta amenaza que esta demostrando ser más peligrosa por dentro, que por su apariencia simple.

Fuente: https://www.bleepingcomputer.com/news/security/new-regretlocker-ransomware-targets-windows-virtual-machines/