Tipo de relatórioPerfil do ator de ameaçasAssunto da pesquisaGrupo de Ransomware 54bb47hTLPGREEN

Sumário executivo

• A equipe de pesquisa de inteligência de ameaças da CloudSEK analisou o perfil do grupo de ransomware chamado 54bb47h (Sabbath).
• Este grupo não tem presença on-line além de um site exclusivo da Onion, onde eles publicam suas atividades/atualizações.
• Embora o grupo não tenha destacado nenhuma violação oficial em seu site, um usuário do fórum afirma ter pago ao grupo pela decodificação.
• A equipe de inteligência de ameaças da CloudSEK conduziu pesquisas adicionais para analisar as operações e os TTPs do grupo.

Análise detalhada

• 54bb47h é um grupo de ransomware recém-surgido que mantém uma presença na dark web. O nome do grupo, que está em leetspeak, se traduz em sábado.
• O site Onion do grupo não menciona nenhuma violação de dados que 54bb47h possa ter cometido.

[caption id="attachment_18235" align="aligncenter” width="1274"]
Site onion do grupo de ransomware 54bb47h [/legenda]

• 54bb47h chamou a atenção no Twitter, onde os usuários sugerem que o nome do grupo, Sabbath, poderia sugerir a origem do grupo. Nas religiões abraâmicas, a palavra sábado significa “um dia reservado para adoração”.
• O grupo de ransomware foi alvo de críticas por permitir “negociações” e “descontos” para suas vítimas. Eles também estão oferecendo parte dos dados gratuitamente e o restante à venda na seção “Blog” do site.
• Computadores BleepingO fórum de discussão menciona os detalhes do ransomware, incluindo uma função de hash que pode ser um COI do grupo.

Formato de criptografia: nome do arquivo. [caracteres do alfabeto] .54bb47h COI compartilhado: SHA1: f090df3655d510eb8584cecbfe6bbdeeeaf31297

• No fórum, um usuário menciona que pagou ao grupo de ransomware pela decodificação, indicando que o grupo pode ter violado uma entidade.

• Além disso, o Twitter obtém algumas semelhanças entre os grupos de ransomware 54bb47h e Midas com base em suas notas de resgate. Os dois grupos também surgiram na web na mesma semana. No entanto, Midas tem uma lista significativa de vítimas.

 Apêndice

[caption id="attachment_18237" align="aligncenter” width="511"] 54bb47h (sábado) Portal de login [/caption]