Los actores detrás del ransomware Monti han regresado tras una pausa de dos meses, implementando una nueva versión basada en Linux. Esta variante se dirige principalmente a sectores gubernamentales y legales.
Origen y evolución del ransomware
Monti surgió en junio de 2022, poco después de que el grupo Conti cerrara sus operaciones. El grupo imitó deliberadamente las tácticas y herramientas asociadas con este último, incluyendo su código fuente filtrado.
Características de la nueva versión
Trend Micro identificó que la nueva variante es un fork del ransomware original. Presenta cambios significativos en comparación con sus predecesores basados en Linux. Según los investigadores, esta versión emplea un cifrado diferente y comportamientos distintos.
Un análisis de BinDiff reveló que la tasa de similitud entre esta nueva variante y Conti es del 29%, lo cual sugiere una revisión muy importante en comparación con las iteraciones anteriores, que tenían una tasa de similitud del 99%.
Cambios técnicos clave
Algunos de los cambios importantes incluyen la adición de un parámetro ‘–whitelist’, que permite omitir una lista de máquinas virtuales. También se eliminaron los argumentos de la línea de comandos –size, –log y –vmlist.
Modificaciones en el cifrado
La variante de Linux también altera el archivo motd (Message of the Day) para mostrar la nota de rescate. Ahora utiliza el cifrado AES-256-CTR, en lugar del Salsa20. El proceso de cifrado depende únicamente del tamaño del archivo.
Los archivos con más de 1.048 MB pero menos de 4,19 MB solo tendrán cifrados los primeros 100.000 (0xFFFFF) bytes. Los que excedan los 4,19 MB tendrán parte de su contenido bloqueado según el resultado de una operación de desplazamiento a la derecha. Los archivos menores a 1.048 MB serán completamente cifrados.
Comentarios de los investigadores
Los investigadores de Trend Micro indicaron que, aunque los actores detrás de Monti emplearon partes del código fuente de Conti como base, implementaron cambios significativos en el algoritmo de cifrado. Estos ajustes mejoran su capacidad para evadir la detección.
«Es probable que los actores detrás de Monti todavía emplearan partes del código fuente de Conti como base para la nueva variante, como lo demuestran algunas funciones similares, pero implementaron cambios significativos en el código, especialmente en el algoritmo de cifrado», afirmaron.
«Además, al alterar el código, los operadores de Monti están mejorando su capacidad para evadir la detección, haciendo que sus actividades maliciosas sean aún más difíciles de identificar y mitigar».