Le nouveau ransomware “MortalKombat” cible les systèmes aux États-Unis.

La majorité des victimes des attaques que les chercheurs de Talos ont vues étaient américaines, bien qu’il y en ait également au Royaume-Uni, en Turquie et aux Philippines.

Attaques de phishing

L’e-mail contient une pièce jointe ZIP malveillante qui télécharge un deuxième paquet depuis une source distante à l’aide d’un script BAT loader. La première des deux charges utiles du malware est contenue dans ce paquet.

Pour réduire la probabilité d’être découvert, le script de chargement supprime les fichiers téléchargés après avoir exécuté la charge utile téléchargée en tant que processus dans le système compromis.

Le message électronique contient une pièce jointe ZIP malveillante qui, lorsqu’elle est visualisée, télécharge un deuxième paquet à partir d’une ressource distante via un script BAT loader. La première des deux charges utiles du malware est contenue dans ce paquet.

Afin de réduire la probabilité de découverte, le script de chargement supprime d’abord les fichiers téléchargés avant d’exécuter la charge utile téléchargée en tant que processus dans le système compromis.

Le ransomware MortalKombat

Une note de rançon/un fond d’écran pour la souche de ransomware Xorist appelée MortalKombat présente des illustrations de la franchise populaire de jeux vidéo de combat. Il a été initialement identifié en janvier 2023.

Comme il vise également les fichiers système et les applications, qui sont souvent évités pour empêcher le système de devenir instable, les analystes de Talos affirment que ce ransomware spécifique n’est pas très intelligent.

Selon le document, “Talos a constaté que MortalKombat chiffre différents fichiers sur le système de fichiers de la machine de la victime, tels que les fichiers système, d’application, de base de données, de sauvegarde et de machine virtuelle, ainsi que les fichiers sur les destinations distantes mappées en tant que lecteurs logiques dans la machine de la victime.”

“Lors du processus de chiffrement, il dépose la note de rançon et modifie le fond d’écran de la machine cible.”

Le fond d’écran sert également de note de rançon, indiquant à l’utilisateur de communiquer avec les pirates en utilisant le programme de messagerie instantanée qTOX basé sur Tor et de les payer en bitcoins.

Si la victime a des difficultés à créer un nouveau compte sur qTOX, le pirate donne en plus une adresse électronique ProtonMail.

Bien que MortalKombat n’ait pas de capacité d’effacement, il désactive la fenêtre de commande d’exécution de Windows, efface toutes les entrées de démarrage de Windows et corrompt les répertoires du système, comme la corbeille, afin que les victimes ne puissent pas y récupérer de fichiers.

En outre, le ransomware modifie le registre Windows, supprimant la clé de registre racine de l’application installée dans la ruche de registre HKEY CLASSES ROOT tout en établissant une clé de registre Run (“Alcmeter”) pour la persistance.

Comme les instructions, les icônes et les informations d’association de fichiers de chaque type de fichier sont stockées dans la ruche HKEY CLASSES ROOT, la suppression de ces entrées entraîne l’arrêt du fonctionnement des programmes.

La méthodologie opérationnelle du ransomware MortalKombat, ainsi que la question de savoir s’il s’agit d’une souche sur mesure créée par un seul acteur de la menace ou distribuée à d’autres cybercriminels comme Laplas, sont inconnues des analystes de Cisco.