ランサムウェアと酷似していること、および一部改良が施されていることが明らかになりました。最新の情報は英語記事をご覧ください。実行したインシデントを複数取り上げ、事後分析を行いました。その結果、ランサムウェアのアフィリエイトが使用するツールが確認されました。か月の間に、ランサムウェアのアフィリエイトと正規の侵入テスターが同じツール群を使用しているのを確認しています。ランサムウェアのバックエンド制御を示すデータがリークされています。ツールを使用してマルウェアを「自己拡散」させるスクリプトの使用を試み始めたことを示しています。コンピューターに容易に感染するので、ランサムウェアの展開から標的システムの暗号化までの時間が短縮されます。機能をほぼすべて引き継いだ上で、研究者による解析を妨害する新たな仕組みを採用していることがわかりました。文字のパスワードの入力を要求するサンプルが確認されています。一方で、パスワードを要求するサンプルは調査したうちの一部に限られました。(これは、他の研究者によるマルウェアの観察結果を裏付けるものです)。していることが、以前にも他の研究者に指摘されています。コードを再利用していることを強く示唆する、多くの類似点を発見しました。内部関数の呼び出しをランサムウェアの研究者から隠すために、特殊な仕組みを採用しています。検索して、目的の関数からポインタの取得を試みます。このマーカーが存在するということは、誰かがコードをデバッグしていることを意味します。マーカーを発見すると、ランサムウェアはポインタを保存せずに、終了します。ごとに特別なスタブを作成します。種類の中からランダムに決定されます。アドレスにジャンプするシェルコードの断片です。この仕組みにより、デバッガーを使用したリバースエンジニアリングを妨害します。レシピをまとめました。双方で多くの文字列が難読化されています。関数で復号化することで解決しています。非常によく似ています。分析し、上述の機能をブログで、上のスクリーンショットとともに紹介しました。文字列難読化機能と見た目上も機能上も酷似した手法を採用しています。