Bad Rabbit emula el comportamiento de ExPetr

Kaspersky Lab confirma que el ransomware Bad Rabbit está relacionado con ExPetr. Se trata del tercer gran ransomware global de 2017 y que ha comparado con los ataques WannaCry y Petya, que causaron tanto caos a principios de este año.

Se trata de un ciberataque que ya se ha extendido a Rusia, Ucrania, Turquía y Alemania y cuyos autores han estado preparando al menos desde julio de 2017. Para ello han creado una red de infección en sitios hackeados, principalmente medios de comunicación y recursos de información de noticias

El análisis de Kaspersky Lab explica que el algoritmo hash utilizado en el ataque es similar al utilizado por ExPetr. Además, los expertos han detectado que ambos ataques utilizan los mismos dominios. Asimismo, las similitudes en los respectivos códigos fuente indican que el nuevo ataque está ligado a los creadores de ExPetr.

Según la investigación de Kaspersky Lab, Bad Rabbit ha afectado casi a 200 objetivos, ubicados en Rusia, Ucrania, Turquía y Alemania. Todos los ataques tuvieron lugar el 24 de octubre, y no se han detectado nuevos ataques desde entonces. Los analistas han percibido que una vez que la infección se hizo más generalizada y las compañías de seguridad empezaron a investigar, los ciberdelincuentes eliminaron inmediatamente el código malicioso que habían agregado a los sitios web hackeados.

En lo que respecta a su modo de proceder, y al igual que exPetr, Bad Rabbit intenta hacerse con credenciales de la memoria del sistema y difundirse dentro de la red corporativa por WMIC. Sin embargo, los analistas no han encontrado los exploits EternalBlue o EternalRomance en el ataque del Bad Rabbit, ambos utilizados en ExPetr.

En este sentido, los productos de Kaspersky Lab detectan con éxito el ransomware y lo ha estado haciendo proactivamente desde el inicio del ciberataque. Puede consultar más información en este vídeo.