Una nueva operación de ransomware, denominada MalasLocker, está hackeando servidores Zimbra para robar correos electrónicos y cifrar archivos. A diferencia de otros grupos de ransomware tradicionales, los actores de amenazas no exigen el pago de un rescate, sino que piden una donación a una organización benéfica sin fines de lucro.
Actividad en servidores Zimbra
La operación comenzó a cifrar los servidores de Zimbra a fines de marzo de 2023. Víctimas informaron que sus correos electrónicos estaban cifrados, y encontraron archivos JSP sospechosos cargados en carpetas como /opt/zimbra/jetty_base/webapps/zimbra/ o /opt/zimbra/jetty/webapps/zimbra/public.
Estos archivos se encontraron con nombres como info.jsp, noops.jsp y heartbeat.jsp, según VirusTotal. El archivo Startup1_3.jsp se basa en un webshell de código abierto.
Cifrado sin extensión de archivos
Al cifrar mensajes de correo electrónico, no se agrega ninguna extensión de archivo adicional al nombre del archivo. Sin embargo, el investigador de seguridad MalwareHunterTeam mencionó que agregan un mensaje «Este archivo está encriptado, busque README.txt para obtener instrucciones de descifrado» al final de cada archivo cifrado.
Demandas inusuales: donaciones a organizaciones benéficas
El descifrador también crea notas de rescate llamadas README.txt, que vienen con una demanda inusual para recibir un descifrador y evitar la filtración de datos robados: una donación a una organización sin fines de lucro que «aprueben».
«A diferencia de los grupos de ransomware tradicionales, no le pedimos que nos envíe dinero. Simplemente no nos gustan las corporaciones y la desigualdad económica», dice la nota de rescate de MalasLocker.
Las notas de rescate contienen una dirección de correo electrónico para contactar a los actores de amenazas o una URL TOR que incluye la dirección de correo electrónico más reciente del grupo. La nota también tiene una sección de texto codificado en Base64 en la parte inferior que se requiere para recibir un descifrador.
Posible explotación de vulnerabilidades
No está claro cómo los actores de amenazas están violando los servidores de Zimbra, pero se presume que podría ser a través de la explotación de las vulnerabilidades CVE-2022-27924, CVE-2022-27925, CVE-2022-30333 y CVE-2022-37042.
Site de fuga de datos
El sitio de fuga de datos de MalasLocker actualmente distribuye los datos robados de tres empresas y la configuración de Zimbra de otras 169 víctimas. La página principal del sitio de fuga de datos también contiene un mensaje largo lleno de emojis que explica lo que representan y los rescates que requieren.
Cifrado AGE poco común
BleepingComputer no ha podido encontrar el cifrador para la operación MalasLocker. Sin embargo, el bloque codificado en Base64 de la nota de rescate descodifica un encabezado de herramienta de cifrado Age, necesario para descifrar la clave privada de la víctima.
La herramienta de cifrado Age fue desarrollada por Filippo Valsorda y utiliza los algoritmos X25519 (una curva ECDH), ChaCha20-Poly1305 y HMAC-SHA256. Este es un método de cifrado poco común, con solo unas pocas operaciones de ransomware usándolo.
El primero fue AgeLocker, descubierto en 2020, y el otro fue encontrado por MalwareHunterTeam en agosto de 2022. Ambos estaban dirigidos a dispositivos QNAP. Las notas de rescate de la campaña QNAP y AgeLocker comparten un lenguaje similar.