Prinz Eugen Ransomware: Un Análisis en Profundidad de un Nuevo Encriptador en Go

SOC Prime Team

Seguir

Prinz Eugen Ransomware: Un Análisis en Profundidad de un Nuevo Encriptador en Go

Detection stack

AIDR
Alert
ETL
Query

Informe de Amenazas
Flujo de Ataque
Detecciones
Simulaciones

Resumen

Prinz Eugen es una familia de ransomware basada en Go recientemente identificada que utiliza cifrado recursivo y prioriza los archivos modificados recientemente para aumentar la presión sobre las víctimas. Se basa en ChaCha20-Poly1305 para el cifrado de archivos e incluye características antiforenses como la eliminación de claves de cifrado de la memoria y su autodestrucción después de la ejecución. La operación sigue un modelo de extorsión fuera de banda y no deja una nota de rescate en el sistema local.

Investigación

La investigación sugiere que la intrusión probablemente comenzó con credenciales RDP comprometidas, seguida de la entrega del servertool.exe a través de Chrome. Los investigadores también observaron el uso de la herramienta de gestión remota RemotePC para el movimiento lateral y la puesta en escena basada en PowerShell. La atribución se vinculó al actor ROOTBOY basado en identidades de extorsión compartidas y actividad de violación previamente observada.

Mitigación

Las organizaciones deben fortalecer el acceso RDP con autenticación multifactor y monitorear el uso no autorizado de herramientas de gestión remota. También es esencial una fuerte protección de punto final capaz de bloquear ejecutables desconocidos basados en Go y detectar comportamientos sospechosos de PowerShell. Mantener copias de seguridad regulares fuera de línea y proteger los datos modificados con frecuencia puede ayudar a reducir el impacto de este enfoque de cifrado de alta presión.

Respuesta

Si se detecta actividad de Prinz Eugen, aísle los sistemas afectados de inmediato para detener el movimiento posterior a través de herramientas RMM o sesiones RDP. Realice análisis de memoria antes de reiniciar el host o permitir que el malware se elimine, ya que esto puede ofrecer la mejor oportunidad para recuperar el material de cifrado. La respuesta ante incidentes también debe centrarse en rastrear posibles exfiltraciones de datos y cualquier canal de comunicación fuera de banda utilizado por el atacante.

"graph TB %% Clase de definiciones secciones classDef initial_access fill:#f96,stroke:#333,stroke-width:2px classDef persistence fill:#f66,stroke:#333,stroke-width:2px classDef lateral_movement fill:#6cf,stroke:#333,stroke-width:2px classDef collection fill:#9f9,stroke:#333,stroke-width:2px classDef impact fill:#f33,stroke:#333,stroke-width:2px classDef evasion fill:#ccc,stroke:#333,stroke-width:2px classDef tool fill:#eee,stroke:#333,stroke-width:2px %% Acceso inicial y ejecución access_rdp["Acción – Servicios remotos externos Descripción: Acceso mediante credenciales RDP comprometidas."] class access_rdp initial_access exec_chrome["Ejecución del usuario: Archivo malicioso Acción: Descargado a través del navegador Chrome Archivo: servertool.exe Ruta: Carpeta de música del usuario"] class exec_chrome initial_access %% Persistencia y escalamiento de privilegios persist_user["Crear cuenta: Cuenta local Acción: Creado nuevo administrador local Comando: net user admin germania /add"] class persist_user persistence priv_esc_rmm["Persistencia: Crear o modificar proceso del sistema Herramienta: RemotePC RMM Acción: Lanzar PowerShell para desplegar cargas útiles"] class priv_esc_rmm persistence %% Movimiento lateral lat_move_rmm["Servicios remotos Acción: Actividad directa en el teclado Herramienta: RemotePC RMM Descripción: Facilitando movimiento lateral dentro del entorno"] class lat_move_rmm lateral_movement %% Colección y exfiltración coll_data["Datos de repositorios de información Acción: Recolección de datos a gran escala Detalles: Aproximadamente 1.2 TB recolectados de Standard Bank"] class coll_data collection exfil_leak["Exfiltración a través del canal C2 Acción: Doble extorsión a través de un portal dedicado de fugas Descripción: Moviendo datos robados a un portal externo"] class exfil_leak collection %% Impacto impact_enc["Datos cifrados para impacto Malware: servertool.exe Tipo: Cifrador basado en Go Método: Cifrado recursivo ChaCha20-Poly1305 Extensión: .prinzeugen"] class impact_enc impact %% Evasión de defensa evasion_mem["Archivos o información ofuscada Acción: Barrido de memoria antiforense Descripción: Borra la clave de cifrado hardcoded y ejecuta el recolector de basura"] class evasion_mem evasion evasion_del["Eliminación de indicador: Eliminación de archivo Acción: Autodestrucción a través de cmd.exe Técnica: Utiliza un truco de retardo de ping para asegurar la eliminación del archivo del disco"] class evasion_del evasion %% Conexiones access_rdp –>|conduce a| exec_chrome exec_chrome –>|desencadena| persist_user persist_user –>|habilita| priv_esc_rmm priv_esc_rmm –>|facilita| lat_move_rmm lat_move_rmm –>|conduce a| coll_data coll_data –>|conduce a| exfil_leak coll_data –>|conduce a| impact_enc impact_enc –>|desencadena| evasion_mem impact_enc –>|desencadena| evasion_del "

Flujo de ataque

Narrativa de ataque y comandos: El adversario ha desplegado el ransomware Prinz Eugen. Para maximizar el impacto y minimizar la huella forense, el malware está configurado para eliminar los archivos originales una vez cifrados usando el --delete flag. Para evitar que el archivo esté «en uso» durante su propia eliminación, el malware invoca un shell de comandos para crear un breve retraso a través de ping antes de ejecutar el del comando en su propio binario. Esta secuencia específica de servertool --delete combinada con cmd.exe /C ping -n 2 > nul & del /F /Q es el indicador principal que estamos simulando.

Script de prueba de regresión:

# Simulación del comportamiento de línea de comandos del ransomware Prinz Eugen
# Este script simula exactamente la cadena de comando esperada por la regla de detección.

# 1. Crear una 'servertool.exe' ficticia para representar el malware
$dummyExe = "$env:TEMPservertool.exe"
New-Item -Path $dummyExe -ItemType File -Force

# 2. Simular la ejecución del ransomware con los argumentos específicos de línea de comandos
# Nota: En un entorno real, esta sería la ejecución real del proceso.
# Utilizamos Start-Process para simular la creación de un nuevo proceso con la línea de comandos objetivo.

$ransomwareCommand = "servertool --delete"
$selfDeleteCommand = "cmd.exe /C ping -n 2 > nul & del /F /Q `"$dummyExe`""

Write-Host "Simulando creación de proceso de ransomware..."

# Activar la detección simulando el evento de creación de proceso
# Invocamos cmd para imitar exactamente el patrón de cadena requerido
Start-Process "cmd.exe" -ArgumentList "/C `"$ransomwareCommand & $selfDeleteCommand`""

Comandos de limpieza:

# Limpiar los artefactos de simulación
Remove-Item -Path "$env:TEMPservertool.exe" -ErrorAction SilentlyContinue

Únete a la plataforma Detection as Code de SOC Prime para mejorar la visibilidad de las amenazas más relevantes para tu negocio. Para ayudarte a comenzar y obtener valor inmediato, programa una reunión ahora con los expertos de SOC Prime.

Únete gratis