Tietoturvayhtiö Check Pointin tutkimusosasto raportoi uudesta, aiempaa kehittyneemmästä kiristyshaittaohjelmasta, jolle tutkijat antoivat nimeksi "Rorschach". Haittaohjelma aon jo käytetty hyökkäyksessä yhdysvaltalaista yritystä vastaan. Yhtiön mukaan Rorscharh on tähän asti nopein kiristyshaittaohjelma.
Rorschachin erottuu muista kiristyshaittaohjelmista sen korkea räätälöintitaso ja teknisesti ainutlaatuiset ominaisuudet, joita ei ole ennen nähty kiristysohjelmissa. Mielenkiintoista on, että Rorschach otettiin käyttöön Palo Alto Networkin allekirjoitetun kaupallisen tietoturvatuotteen (Cortex XDR Dump Service Toolin) DLL-sivulatauksella. Tätä latausmenetelmää ei yleensä käytetä kiristysohjelmien lataamiseen, ja siten se paljastaa kyberrikollisten uuden lähestymistavan havaitsemisen välttämiseksi.
Haavoittuvuus, joka mahdollisti Rorschachin käyttöönoton, paljastettiin asianmukaisesti Palo Alto Networksille.
Check Pointin tutkijoiden mukaan uudesta kiristysohjelmasta löytyi koko analyysin ajan ainutlaatuisia ominaisuuksia. Käyttäytymisanalyysi viittaa siihen, että se on osittain itsenäinen, ja se leviää automaattisesti, kun koodi ajetaan DC-ohjaimessa (Domain Controller) samalla, kun se tyhjentää haavoittuvien koneiden tapahtumalokit.
Lisäksi Rorschach on erittäin joustava, eikä se perustu pelkästään sisäänrakennettuun kokoonpanoon vaan myös lukuisiin valinnaisiin argumentteihin, joiden avulla se voi muuttaa käyttäytymistään käyttäjän tarpeiden mukaan. Vaikka se näyttää saaneen inspiraatiota joistakin surullisen kuuluisimmista kiristysohjelmaperheistä, se sisältää myös ainutlaatuisia toimintoja, joita harvoin nähdään kiristysohjelmien joukossa, kuten suorien syscall-toimintojen käyttö.
Lisätietoja haittaohjelmasta löytyy Check Pointin blogisivulta.