Adversary
Pinchy Spider
Ursprung
Osteuropa, Russische Föderation
Community Identifiers
GandCrab, REvil, Sodinokibi, GOLD GARDEN, GOLD SOUTHFIELD
Pinchy Spider ist eine kriminelle Organisation, die hinter der Entwicklung und dem Betrieb der Ransomware REvil (auch bekannt als Sodinokibi) steht, die seit Anfang April 2019 im Umlauf ist.
Pinchy Spider verkauft den Zugriff auf ihre Ransomware im Rahmen eines Partnerschaftsprogramms mit einer begrenzten Anzahl von Konten, die häufig als Ransomware-as-a-Service (RaaS) bezeichnet werden. Die Hackergruppe war zu Beginn als Entwickler der Ransomware GandCrab bekannt, die zwischen Januar 2018 und Ende Mai 2019 aktiv war.
REvil
Teile von REvil wurden erstmals Anfang April 2019 bemerkt, während GandCrab aktiv war. Die Analyse durch CrowdStrike Intelligence ergab mehrere Überschneidungen im Code sowie in Taktiken, Techniken und Prozeduren (TTPs), die auf eine Verbindung zwischen den Ransomwares GandCrab und REvil schlussfolgern ließen, einschließlich RC4-Zeichenfolgenentschlüsselung, Informationserfassung, Befehl-und Kontroll-Techniken (C2) und Dateiverschlüsselung. CrowdStrike Intelligence hält Pinchy Spider für den Betreiber von Revil. Pinchy Spider besteht aus einigen Personen, die das mittlerweile nicht mehr verwendete GandCrab betrieben, sowie aus einigen neuen Leuten aus einem ehemaligen GandCrab-Partnernetzwerk.
GandCrab
GandCrab wurde erstmals Ende Januar 2018 veröffentlicht und ist eine der ersten bekannten Ransomware-Familien, die die DASH-Kryptowährung akzeptierte und die Kryptowährung Namecoin TLD .bit verwendete. Die Software fungiert als alternatives, dezentrales Domainnamensystem.
Am 31. Mai 2019 gab Pinchy Spider in einem Forumsbeitrag bekannt, dass sie sich aus dem Betrieb zurückziehen und das GandCrab-Partnerschaftsprogramm eingestellt wird. Die Hackergruppe forderte keine weiteren Verteilungskampagnen und gab den Mitgliedern des Partnerprogramms 28 Tage Zeit, um verbleibende Infektionen zu Geld zu machen.
Technisches Handwerk
- Verwendung von RC4 zur String-Entschlüsselung
- Erkennung des Tastaturlayouts, um den Standort zu erfassen
- Auflistung und Beendigung von Prozessen, die mit Ransomware-Zieldateien verbunden sind
- Prüfung des Domainnamens auf die RU TLD, um die Verschlüsselung russischer Unternehmen zu vermeiden
Targeted Nations
Argentinien
Australien
Belgien
Brasilien
Kanada
Chile
China
Europa
Frankreich
Deutschland
Hongkong
Indonesien
Italien
Jamaika
Japan
Luxemburg
Mexiko
Norwegen
Singapur
Slowenien
Südafrika
Südkorea
Spanien
Schweden
Schweiz
Trinidad und Tobago
Vereinigte Arabische Emirate
Vereinigtes Königreich
Vereinigte Staaten
Zielbranchen
- Landwirtschaft
- Automobilindustrie
- Biomedizin
- Chemie
- Beratung & professionelle Dienstleistungens
- Konsumgüterundustrie
- Kryptowährung
- Lebensmittel- und Getränkeindustrie
- Gastgewerbe
- Industrie und Maschinenbau
- Justiz
- Logistik
- Schifffahrt
- NGOs und gemeinnützige Organisationen
- Opportunistisch
- Immobiliensektor
- Staatliche und kommunale Einrichtungen
- Wissenschaft
- Energie
- Regierung
- Medien
- Einzelhandel
- Technologie
Artwork

Crowdstrike Pinchy Spider
I have read and accept the terms and conditions