VanHelsing-ransomwaregroep deelt broncode van ransomware op forum

De ransomware-as-a-servicegroep VanHelsing heeft de broncode van zijn affiliatepaneel en zijn Windows-encryptorbuilder gedeeld op een blog waar data wordt gelekt. Een andere persoon probeerde de broncode te verkopen, waarop de groep besloot deze zelf te delen.

Een persoon met de alias 'th30c0der' probeerde allerlei materialen van de criminele groep te verkopen voor 10.000 dollar, schrijft Bleeping Computer. De persoon stelt dat het gaat om broncode van de ransomware, waaronder Tor-sleutels, het webpaneel voor beheerders, chats, de bestandsserver en de datalekblog.

Volgens de mensen achter VanHelsing gaat het om een voormalige ontwikkelaar die mensen probeert op te lichten. De groepering besloot hem voor te zijn en zelf de broncodes te publiceren. "Vandaag kondigen we aan dat we de oude broncodes publiceren en binnenkort terugkeren met een nieuwe en verbeterde versie van de locker (VanHelsing 2.0)", aldus de groep. De data is echter incompleet in vergelijking met wat th30c0der zegt te hebben. Zo zit er geen Linux-builder bij en ook geen databases.

Bleeping Computer heeft de gelekte broncode in handen gekregen en bevestigt dat de gegevens legitiem zijn. De builder werkt, maar vereist wel wat extra stappen. Daarnaast is er broncode van de Windows-encryptor beschikbaar, waarmee een losstaande versie gebouwd kan worden, evenals een decryptor en een loader.

Reacties (22)

[Drwho1]

Volgens de mensen achter VanHelsing gaat het om een voormalige ontwikkelaar die mensen probeert op te lichten.

Hier moet je even bij stilstaan. De ransomwaregroep, gijzelnemers dus, beschuldigen een voormalig 'partner in crime' van oplichting. Dus in een alternatief universum zou je kunnen zeggen dat de groepering in dit verhaal de prins op het witte paard is die andere louche types probeert te beschermen tegen een oplichter.

Qua ironie kan dit tellen.

[Remzi1993]

Inderdaad, criminele die een andere crimineel uit hun groep hebben gezet. Er is een Engelse uitdrukking: "There is no honour among thieves".

[Ro-Maniak2]

Nou ja het tegenovergestelde spreekwoord bestaat ook: https://www.usingenglish....tish%20English%20version.)

En dat lijkt hier aan de hand. We persen iedereen af en maken crimineel hun data onbruikbaar maar hé! Je gaat toch niet je mede-criminelen oplichten??

[pvdheu]

"Volgens de mensen achter VanHelsing gaat het om een voormalige ontwikkelaar die mensen probeert op te lichten."

Iets met pot en ketel ...

[watercoolertje]

Nou nee, wat hun zelf doen is geen oplichting maar afpersing. Net zo vervelend maar niet hetzelfde.

[ZwolschBalletje]

Die oplichting is alleen maar hoe VanHelsing hun oud medewerker beschrijft, mogelijk om potentiële kopers af te schrikken (ga niet in op zijn deal, je wordt opgelicht!) en zo verspreiding van hun 'IP' tegen te gaan.
Bleeping Computer heeft echter de gelekte/aangeboden bestanden bekeken en bevestigd dat die legitimate waren. Dan is de voormalige medewerker dus niet meer zijn eigen klanten aan het oplichten zoals VanHelsing suggereert, maar 'gewoon' heling aan het plegen.

Dit alles (inclusief de inzage die Bleeping Computer kreeg in de gestolen/aangeboden waren en het tegenoffensief van VH om delen zelf openbaar te maken) lijkt sterk op een goed georganiseerde marketing-campagne van beide kanten. De onschuldige internetgebruiker is de lachende derde, want er wordt nu weer iets zichtbaar van de attack vectors die in ontwikkeling waren. Ook al is het in het artikel heel algemeen omschreven, het biedt weer aanknopingspunten voor de cybersecurity-community.

Bleeping Computer:

The leaked source code also revealed that the threat actors were attempting to build an MBR locker that would replace the master boot record with a custom bootloader that displays a lock message.

[Reactie gewijzigd door ZwolschBalletje op 22 mei 2025 10:14]

[Remzi1993]

Heling? Heling is wanneer je iets doorverkoopt dat gestolen is. De software is niet gestolen want het was al illegaal wat ze deden.

[Ro-Maniak2]

Nope, je kan iets wat illegaal is verkregen wel degelijk stelen en helen.

[Die_ene_gast]

Dus illegale dingen kan je niet stelen?

[Remzi1993]

Ja, maar wordt dat ook heling genoemd?

[Reactor4]

Diefstal is het wegnemen van een goed (ook digitale goederen) met het oogmerk je dit wederrechtelijk toe te eigenen.
Of de eigenaar van dat goed zich met illegale praktijken bezig hield is niet relevant.

[Bergen]

Ja, afpersing ("maak x bitcoin over, anders publiceren we jullie klantenbestand") en gijzeling ("maak x bitcoin over, dan krijg je je bureaublad weer terug")

[Peahimaui]

Dit lijkt mij toch een fijne ontwikkeling? Hackers die hackers proberen op te lichten.

[GeeBee]

Aan de ene kant ja.
Aan de andere kant is het openlijk beschikbaar zijn van dergelijke broncode niet fijn omdat dan elke prutser met z’n eigen versie aan de slag kan.

[segil]

ik denk dat gemiddelde prutser hier weinig mee kan, omdat het niet kant-klaar is.

[Die_ene_gast]

De gemiddelde scriptkiddie kan niets.

[sh4d0wman]

Ach, bleepingcomputer en de diverse AV bedrijven publiceren vaak malware onderzoeken. Met de info daar uit + AI kom je vaak ook al een heel eind. Zelfs 0-days kun je zo vrij snel naar PoC vertalen als je enige ervaring/kennis hebt.

Aldus een vriend..

[RadYeon]

Oftewel, "the enemy of my enemy is my friend"

[WillySis]

Misdadigers die elkaar bedreigen, oplichten enz. is zo oud als de misdaad zelf. Dat hackers elkaar hacken en proberen op te lichten zal ook vast niet nieuw zijn. Het enige wat nieuw is dat een ransomware groep nu in de publiciteit meld dat ze te maken hebben met een oplichter.

[Mosterd]

Teamkill anyone 🤣

[sircampalot]

binnenkort terugkeren met een nieuwe en verbeterde versie van de locker (VanHelsing 2.0)

Die zien we dan vast terug in de meuktracker met changelogs enzo

[kuurtjes]

Als ze het op deze manier releasen dan zal de persoon wel degelijk iets echt aan het verkopen zijn en dus geen oplichter zijn. Misschien is het iemand die hun heeft opgelicht.