Morphisec avisa a campanha de ransomware apoiada pelo Irã, impulsionada por motivos políticos

Um novo relatório fora hoje da Endpoint Security Firm Morphisec Inc. Revela o ressurgimento do Pay2Key, uma operação de ransomware com laços com o grupo de ameaças persistentes avançadas do Irã Kitten, agora renomeado como pay2key.i2p.

Originalmente exposto em 2020, o ator de ameaças atualizado está alavancando um modelo de ransomware como serviço e incorporando técnicas e componentes associados ao Imitação de ransomware Família, incluindo uma variante de Elenor-Corp analisada anteriormente. Raas é um modelo de negócios de crimes cibernéticos que envolve os desenvolvedores de ransomware alugando seus malware para afiliados, que então realizam ataques em troca de uma parcela de pagamentos de resgate.

O relatório alerta que, com uma agenda geopolítica afiada e um arsenal técnico refinado, pay2key.i2p representa um risco crescente para as organizações ocidentais.

A nova operação, que se acredita estar ativa desde fevereiro, já acumulou cerca de US $ 4 milhões em pagamentos de resgate de mais de 50 ataques bem -sucedidos em apenas quatro meses. As afiliadas são incentivadas através de uma participação de 80%, especialmente se direcionar os adversários do Irã, misturando motivos financeiros com ideologia política. A promoção da campanha nos fóruns de rede escura russa e chinesa, bem como através de uma presença no site social X, aponta para um lançamento cuidadosamente planejado.

A análise da Morphisec sobre o malware descobriu que o grupo está usando técnicas avançadas de evasão. A cadeia de ataque começa com um arquivo de auto-extração de 7 zip que executa um script de carregador CMD e PowerShell duplo. Esse script desativa o Microsoft Defender criando uma exclusão do tipo de arquivo para arquivos .exe e implanta o Nodefender, uma ferramenta projetada para enfraquecer a segurança do endpond. A etapa final envolve a execução do ENC-Build.exe, uma variante protegida pela THEMIDA do Ransomware Mimic, capaz de indexar arquivos e executar cargas úteis furtivamente.

Embora visando inicialmente as instalações do Windows, os operadores por trás do Pay2Key.i2p expandiram seus recursos com uma construção compatível com Linux em junho, ampliando sua base de alvo em potencial. O grupo também introduziu mais recentemente técnicas de ofuscação, como criptografia XOR, comportamentos de chamariz e verificações de anti-análise destinadas a evitar caixas de areia e ferramentas de análise dinâmica.

Para afiliados, o Pay2Key.i2p oferece uma plataforma on-line que inclui um sistema de afiliados baseado em referência, um construtor de ransomware, painéis de lucro em tempo real e ferramentas para a comunicação de vítimas.

Os grupos de ransomware são uma dúzia de dez centavos em 2025, mas nem todos são ideologicamente motivados. “Embora o lucro seja um motivador, a agenda ideológica do Pay2Key.i2p é clara”, observa o relatório. “O foco deles em alvos ocidentais, juntamente com a retórica ligada à postura geopolítica do Irã, posiciona essa campanha como uma ferramenta de guerra cibernética”.

Imagem: Siliconangle/Reve