Uma nova variante do ransomware Mallox, conhecida por atacar principalmente sistemas Windows, agora está sendo direcionada a sistemas Linux. Essa evolução foi observada por pesquisadores da SentinelLabs, que detectaram uma afiliada da operação Mallox utilizando uma versão levemente modificada do ransomware Kryptina, um código de baixo custo que se popularizou no final de 2023. A adoção do Kryptina para ataques em Linux sinaliza uma mudança significativa na operação do Mallox, que antes focava exclusivamente em sistemas Windows.
Leia também
Pesquisador irlandês revela falha no ServiceNow
Operação prende argentino por phishing massivo
O Kryptina surgiu como uma plataforma de ransomware como serviço (RaaS), com valores que variavam entre US$ 500 e US$ 800, mas não conseguiu ampla adoção no mercado cibernético. Em fevereiro de 2024, seu código-fonte foi vazado por um administrador sob o pseudônimo “Corlys” em fóruns de hackers, tornando-se acessível a criminosos cibernéticos interessados em explorar vulnerabilidades em sistemas Linux. O vazamento do código permitiu que novos grupos utilizassem e adaptassem o ransomware para seus próprios ataques.
A variante Mallox Linux 1.0, construída sobre o código do Kryptina, mantém a estrutura essencial do ransomware original, utilizando o mesmo algoritmo de criptografia AES-256-CBC e rotinas de descriptografia. Os pesquisadores da SentinelLabs descobriram que a afiliada do Mallox apenas alterou aspectos estéticos, removendo referências ao Kryptina e criando uma versão mais “enxuta” da documentação original. Apesar das modificações superficiais, a base do código permanece inalterada, o que facilita a adaptação para diferentes sistemas.
Além do Mallox Linux 1.0, foram encontradas outras ferramentas no servidor da afiliada do ransomware. Entre elas, estavam uma ferramenta legítima de redefinição de senha da Kaspersky, scripts do PowerShell para escalonamento de privilégios e exploits para vulnerabilidades no Windows 10 e 11. Essas descobertas apontam para uma operação bem estruturada, com diversos recursos à disposição para comprometer sistemas e aumentar o impacto dos ataques.
A expansão das operações de ransomware para o Linux e VMWare ESXi ressalta a crescente ameaça que essas plataformas enfrentam. O uso de código vazado, como o Kryptina, reforça a agilidade e a capacidade de adaptação dos grupos criminosos, que estão sempre em busca de novas oportunidades para explorar brechas em sistemas amplamente utilizados.
