Голландские исследователи из
Tesorion провели
анализ кодов двух семейств ransomware
Nemty и
Nefilim и пришли к выводу, что эти вредоносы являются родственными
Подобные предположения ранее уже высказывались, в частности журналистами
Bleeping Computer, однако технических подтверждений не было.
И вот теперь голландцы, проведя анализ, нашли в обоих ransomware куски кода, скомпилированные из практически идентичных исходников. Кроме того,
Nemty 2.6 при шифровании игнорирует файлы с расширением
Nefilim (обратное, кстати, не верно). А вот
Nemty 2.2 такого исключения не содержит.
Nemty и
Nefilim содержат еще ряд принципиальных сходств, например, один и тот же список расширений, игнорируемых при шифровании (вплоть до их порядка), а также список игнорируемых каталогов.
Tesorion полагают, что поскольку у этих ransomware разные модели использования (
Nemty - Ransomware as a Service, а
Nefilim используется под конкретную крупную цель), то
Nefilim является дальнейшим концептуальным развитием
Nemty. Тем более, что оператор последнего сообщил, что планирует отказаться от модели RaaS.
Кстати, в коде
Nefilim нашлась строчка из песни
Drip Catcher модного российского исполнителя песен ртом
Kizaru. Что еще больше придает этой ransomware сходство с
Nemty, авторы которого
прописали в коде лирику
Скриптонита.