Investigadores de BlackBerry Threat Intelligence han identificado una nueva cepa de ransomware denominada LokiLocker, cuyo origen se atribuye probablemente a Irán. El nombre del malware se inspira en el dios nórdico Loki, conocido por sus travesuras. Este tipo de ransomware está diseñado para borrar el disco y los datos de los equipos objetivo, eliminando todos los archivos que no pertenecen al sistema y los registros de arranque si la víctima no paga un rescate.
Operación bajo modelo de servicio
LokiLocker ha estado activo desde mediados de agosto de 2021. Opera bajo el modelo de ransomware como servicio, vendiéndose a afiliados seleccionados y verificados. Los investigadores han identificado alrededor de 30 afiliados «VIP» diferentes en las muestras analizadas.
Función de borrado opcional
El ransomware incluye una función de borrado opcional que elimina todos los archivos no esenciales del sistema, eliminando así cualquier posibilidad de negociación. Sin embargo, los afiliados le dan a la víctima un plazo para pagar el rescate antes de activar esta función.
Metodología de cifrado
LokiLocker utiliza una combinación estándar de AES para el cifrado de archivos y RSA para la protección de claves. El malware también sobrescribe el registro de arranque (MBR), lo cual impide que el sistema inicie correctamente sin recuperación.
Características técnicas
Escrito en .NET, LokiLocker está protegido con NETGuard mediante un complemento de virtualización llamado KoiVM. Esta protección dificulta la detección y análisis del malware por parte de los investigadores.
Origen y atribuciones
Según BlackBerry, algunas herramientas utilizadas para distribuir LokiLocker parecen haber sido desarrolladas por un equipo iraní llamado AccountCrack. Además, al menos tres afiliados conocidos de LokiLocker utilizan nombres de usuario únicos que se pueden encontrar en canales de hacking iraníes.
Impacto y mitigación
La amenaza de borrado de disco de LokiLocker complica la situación para las víctimas, ya que elimina cualquier posibilidad de negociación. Sin embargo, mantener una sólida estrategia de seguridad y realizar copias de seguridad regulares puede reducir el impacto del ataque.
NOTA: Actualmente no se conoce un descifrador para LokiLocker.