มุ่งโจมตีอุปกรณ์ VMware ESXi Virtual machines และการเข้ารหัสสำหรับระบบปฏิบัติการ Linux โดยเฉพาะ

Royal Ransomware เป็นแรนซัมแวร์ตัวล่าสุดที่ถูกค้นพบโดย Will Thomas จาก Equinix Threat Analysis Center (ETAC) จากการตรวจสอบพบว่า Royal Ransomware ตัวนี้ได้เพิ่มประสิทธิภาพในการทำงาน โดยมุ่งเป้าหมายไปยังอุปกรณ์ VMware ESXi Virtual machines ที่รองรับการเข้ารหัสสำหรับระบบปฏิบัติการ Linux โดยเฉพาะ ซึ่งการทำงานมีความคล้ายกับกลุ่มแรนซัมแวร์ตัวอื่นๆ ที่ถูกพบ เช่น Black Basta, LockBit, BlackMatter, AvosLocker, REvil, HelloKitty, RansomEXX, และ Hive

นอกจากนี้ยังรองรับการทำงานอื่นๆ ที่ช่วยให้ผู้โจมตีสามารถควบคุมการทำงานต่างๆ ในการเข้ารหัสได้

• -stopvm – หยุดการทำงานทั้งหมดของระบบ (VM) เพื่อทำการเข้ารหัส
• -vmonly – ทำการเข้ารหัสเฉพาะเครื่อง (Virtual machines) เท่านั้น
• -fork – unknown
• -logs – unknown
• -id: – รหัสที่ใช้ต้องมีความยาว 32 ตัวอักษร

หลังจากไฟล์ถูกเข้ารหัสเรียบร้อยแล้ว ไฟล์ดังกล่าวจะใช้ไฟล์นามสกุลที่ลงท้ายด้วย .royal_u ทั้งหมดที่มีอยู่ในระบบ (VM)

ในส่วนของเครื่องมือ หรือโปรแกรมป้องกันไวรัส (anti-malware) ที่ใช้ช่วยในการตรวจหา Royal Ransomware ที่รวบรวมความสามารถในการกำหนดเป้าหมายต่างๆ เข้าด้วยกัน จากการสแกนเบื้องต้นสามารถตรวจพบทั้งหมด 23 รายการ จาก 62 รายการบน Virus Total

ท้ายที่สุด Royal Ransomware ถือว่าเป็นกลุ่มผู้โจมตีที่มีความเชี่ยวชาญมากพอสำควร เพราะก่อนหน้านี้เคยทำงานร่วมกับกลุ่ม Conti Ransomware และใช้ตัวเข้ารหัสจากกลุ่ม BlackCat Ransomware

จากนั้นไม่นานก็เปลี่ยนมาใช้ตัวเข้ารหัสของตัวเองที่พัฒนาขึ้นในชื่อว่า Zeon ล่าสุดได้เปลี่ยนมาใช้ชื่อ Royal โดยกำหนดค่าไถ่ตั้งแต่ 250,000 USD ไปจนถึง 10,000,000 USD หลังจากทำการเข้ารหัสของเป้าหมาย หรือองค์กรต่างๆ เป้าหมายส่วนใหญ่จะเป็น องค์กรเกี่ยวกับการดูแลเรื่องสุขภาพ และสาธารณสุข (HPH)