Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Cerca

Hive ransomware si evolve con Rust. Nuovi IoC e modalità crittografiche

Redazione RHC : 10 Luglio 2022 07:00

Le bande di ransomware non stanno ferme e l’ottimizzazione delle attività associate all’aggiornamento dei loro ecosistemi e infrastrutture tecnologiche è una pratica consolidata. Questa volta, il famigerato Hive Ransomware è stato aggiornato a Rust e a un metodo di crittografia più sofisticato.

Hive viene fornito come Ransomware-as-a-Service (RaaS) e i suoi sviluppatori hanno revisionato il software per passare completamente a Rust con un metodo di crittografia più sicuro.

Secondo un rapporto del Microsoft Threat Intelligence Center (MSTIC), i principali aggiornamenti di Hive mostrano che sono uno dei ceppi di ransomware in più rapida crescita, illustrando un ecosistema in continua evoluzione.

Le chiavi nello schema di crittografia della nuova variante Hive (fonte Microsoft)

Distribuisci i nostri corsi di formazione diventando un nostro Affiliato

Se sei un influencer, gestisci una community, un blog, un profilo social o semplicemente hai tanta voglia di diffondere cultura digitale e cybersecurity, questo è il momento perfetto per collaborare con RHC Academy. Unisciti al nostro Affiliate Program: potrai promuovere i nostri corsi online e guadagnare provvigioni ad ogni corso venduto. Fai parte del cambiamento. Diffondi conoscenza, costruisci fiducia, genera valore.

Contattaci tramite WhatsApp al 375 593 1011 per richiedere ulteriori informazioni oppure scriviti alla casella di posta [email protected]



Supporta RHC attraverso:


Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.


Come è noto, Hive è stato scoperto per la prima volta nel giugno 2021 ed è diventato uno dei gruppi RaaS più attivi, con 17 attacchi nel solo maggio 2022, insieme a Black Basta e Conti.

Il passaggio da GoLang a Rust, rende Hive il secondo ceppo di ransomware dopo BlackCat ad essere implementato in questo linguaggio di programmazione.

Questo permette al malware di ottenere ulteriori vantaggi, come la sicurezza della memoria e un controllo più approfondito sulle risorse di basso livello, nonché la possibilità di utilizzare un’ampia gamma di librerie crittografiche.

Un enorme vantaggio per il ransomware è che lo rende resistente al reverse engineering. Inoltre, il malware è dotato di funzioni per interrompere servizi e processi di soluzioni di sicurezza che possono potenzialmente rilevarlo e interromperlo.

ParameterFunctionality
-no-localDon’t encrypt local files
-no-mountedDon’t encrypt files on mounted network shares
-no-discoveryDon’t discover network shares
-local-onlyEncrypt only local files
-network-onlyEncrypt only files on network shares
-explicit-onlyEncrypt specific folder(s). For example, ‘-explicit-only c:\mydocs c:\myphotos’
-min-sizeMinimum file size, in bytes, to encrypt. For example, ‘-min-size 102400’ will encrypt files with size equal or greater than 100kb
-da[Usage is being analyzed.]
-f[Usage is being analyzed.]
-force[Usage is being analyzed.]
-wmi[Usage is being analyzed.]
Funzionalità a linea di comando

Nella nuova versione basata su Rust, modifiche significative sono legate all’approccio di crittografia dei file. Invece di incorporare la chiave crittografata in ogni file crittografato, come faceva Hive prima, ora genera due set di chiavi in ​​memoria e le utilizza per crittografare i file, crittografarli e scrive i set nella radice dell’unità crittografata con una chiave specifica.

Per determinare quale delle due chiavi viene utilizzata per bloccare un determinato file, il file crittografato viene rinominato in modo da includere il nome del file contenente la chiave seguito da un carattere di sottolineatura e da una stringa codificata Base64 (ad esempio, “C:\myphoto. jpg .l0Zn68cb _ -B82BhIaGhI8”) che punta a due punti diversi nel file chiave corrispondente.

I ricercatori Microsoft hanno condiviso gli indicatori di compromissione (IoC) per questa nuova versione e hanno raccomandato alle organizzazioni di utilizzarli per scoprire se la cybergang si muove nel loro ambiente oltre a valutare la potenziale intrusione nella rete.

IndicatorTypeDescription
f4a39820dbff47fa1b68f83f575bc98ed33858b02341c5c0464a49be4e6c76d3SHA-256Hive Rust variant payload
88b1d8a85bf9101bc336b01b9af4345ed91d3ec761554d167fe59f73af73f037SHA-256Hive Rust variant payload
065208b037a2691eb75a14f97bdbd9914122655d42f6249d2cca419a1e4ba6f1SHA-256Hive Rust variant payload
33744c420884adf582c46a4b74cbd9c145f2e15a036bb1e557e89d6fd428e724SHA-256Hive Rust variant payload
afab34235b7f170150f180c7afb9e3b4e504a84559bbd03ab71e64e3b6541149SHA-256Hive Rust variant payload
36759cab7043cd7561ac6c3968832b30c9a442eff4d536e901d4ff70aef4d32dSHA-256Hive Rust variant payload
481dc99903aa270d286f559b17194b1a25deca8a64a5ec4f13a066637900221eSHA-256Hive Rust variant payload
6e5d49f604730ef4c05cfe3f64a7790242e71b4ecf1dc5109d32e811acf0b053SHA-256Hive Rust variant payload
32ff0e5d87ec16544b6ff936d6fd58023925c3bdabaf962c492f6b078cb01914SHA-256Hive Rust variant payload

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli

Articoli in evidenza

E’ giallo sull’Attacco Informatico in Alto Adige. Sembra essere un disservizio del Power Center

E’ giallo relativamente al presunto attacco informatico avvenuto tra le notte del 23 e il 24 giugno in Alto Adige: dalle prime ore di martedì, infatti, si sono registrati problemi diffusi ...

Shock in Francia: i signori di BreachForums erano ventenni cittadini Francesi!

Clamoroso in Francia: smantellata una delle più grandi reti globali di cybercriminalità. Gli hacker di BreachForum erano… francesi. Le autorità francesi hanno sgominato una vasta...

Attacco zero-click su Notepad++. HackerHood ha provato l’exploit e funziona veramente con poco

È stata scoperta una pericolosa vulnerabilità nell’ultima versione del popolare editor di testo Notepad++ che consente a un aggressore di ottenere il controllo completo del ...

Studio legale Qilin & Associati: Il Ransomware assume Avvocati e lancia il “pacchetto intimidazione”

Gli sviluppatori del ransomware Qilin (da noi intervistati recentemente) hanno offerto ai loro partner l’aiuto e la consulenza di un team di avvocati, in modo da poter fare pressione sulle vitt...

200 dollari per l’Accesso ad una Azienda italiana! Mentre il Dark Web fa affari, tu sei pronto a difenderti?

Dopo il caso dei 568 endpoint di un’azienda italiana del settore macchinari industriali, un altro accesso compromesso relativo a una società italiana di ingegneria del software &...