Nitrogen ransomware. The cod is very broken.

Researchers reveal Nitrogen ransomware. The code is very broken. The size of the hackers used to decode the seized files.

Ransomware usually demands a very high level of money from the victim to unlock the file, which can not get a key to unlock it, but in some cases the ransomware is written very badly. Even if the victim pays, it can be paid for free, because the hackers cannot unlock the file.

According to a report by The Register website, the results of a review of the operation of a new ransomware, Nitrogen, a ransomware developed by a group of hackers of the same name by a research team from Coveware, an expert file recovery firm that has been exposed to ransomware. The research team found that the programming of the ransomware was very poor, such as the encryption of a public key. The crash was caused by the ransomware loading an 8-byte QWORD variable into memory. (Memory) With Offset rsp + 0x1c, which overlaps with the Public Key loaded with Offeset rsp + 0x20, this causes the first 4 byte overwrite of the Public Key to cause such problems.

According to the research team, the operation of such ransomware is a misstep, because in general, when the Private Key and the Public Key Curve25519 are created, the Private Key is created first and then the Public Key is created from the Private Key again. But what happened to this ransomware is so wrong that the Public Key is not available. In conclusion, the encrypted file is the encrypted file. If the victim pays the hacker, there is absolutely no way to get the file back, because even the hacker used and the developer. It cannot decryption the victim's file.

For the Nitrogen ransomware group, the group itself is not very big or famous. It has been operating since 2023, borrowing malware code from the Conti 2 Builder malware tool to create Initial Access malware for other hackers who use the service, and then developed into a ransomware development group. It has been reported that the group has been working on the enterprise money plow since September 2024 (2024).

2/27 Edited to

ประสบการณ์การติดตามข่าวสารเกี่ยวกับแรนซัมแวร์ Nitrogen ทำให้ผมเห็นภาพว่าแม้เทคโนโลยีการโจมตีไซเบอร์จะพัฒนาไปอย่างรวดเร็ว แต่ความผิดพลาดในการเขียนโปรแกรมก็ยังคงเกิดขึ้นได้เสมอ เหมือนกับการที่แรนซัมแวร์ตัวนี้ใช้คู่กุญแจ Public Key และ Private Key แบบผิดขั้นตอนอย่างร้ายแรงจนทำให้ไม่สามารถถอดรหัสไฟล์ได้ แม้ว่าคนร้ายจะพยายามเรียกค่าไถ่ ก็ตาม จากข้อมูลที่อ่านและติดตาม พบว่ากลุ่ม Nitrogen นั้นไม่ใช่กลุ่มก่อการร้ายไซเบอร์ที่ใหญ่หรือโด่งดังมากนัก แต่กลับมีการใช้โค้ดจากเครื่องมือสร้างมัลแวร์ Conti 2 Builder ซึ่งโดยปกติจะถูกใช้ในกลุ่มแฮกเกอร์มืออาชีพ แต่การนำโค้ดมาปรับใช้โดยไม่มีความรู้เพียงพอ ทำให้โปรแกรมมีจุดบกพร่องร้ายแรงนี้ สิ่งนี้ทำให้ผมนึกถึงความสำคัญของการทดสอบทบทวนซอฟต์แวร์ในทุกกระบวนการ โดยเฉพาะในส่วนของการจัดการกับกุญแจเข้ารหัสซึ่งมีความละเอียดอ่อนสูง การเขียนโปรแกรมแบบผิดตำแหน่งที่อยู่ของตัวแปรหรือการคำนวณค่าของคีย์เป็นสิ่งที่ผู้พัฒนาควรระมัดระวังอย่างมาก สำหรับผู้ที่เคยตกเป็นเหยื่อของแรนซัมแวร์ตัวนี้ อาจจะรู้สึกว่าการจ่ายค่าไถ่เป็นเรื่องไร้ประโยชน์และเสียทรัพยากรไปโดยเปล่าประโยชน์ ซึ่งตรงกันข้ามกับแรนซัมแวร์ทั่วไปที่บางครั้งยังมีโอกาสถอดรหัสไฟล์ได้ถ้าจ่ายเงินให้ถูกต้อง ผมมองว่าเรื่องนี้ชี้ให้เห็นว่ากลุ่มแฮกเกอร์บางกลุ่มยังขาดทักษะหรือความระมัดระวังในเชิงเทคนิค ทั้งที่ถือเป็นอาวุธที่ร้ายแรงและสร้างความเสียหายได้มากในวงการไซเบอร์ สุดท้ายแล้ว ผู้ใช้ทั่วไปและองค์กรควรให้ความสำคัญกับการสำรองข้อมูลอย่างสม่ำเสมอ และวางมาตรการป้องกันแรนซัมแวร์อย่างเข้มงวดเพื่อลดความเสี่ยงที่จะได้รับผลกระทบจากการโจมตีที่ผิดพลาดหรือแม้แต่กับแรนซัมแวร์ตัวใหม่ๆ ที่ยังไม่เคยเจอมาก่อน