由 dawei BlackCat/ALPHV 勒索软件最近开始使用一种名为"Munchkin "的新工具，该工具可利用虚拟机在网络设备上隐秘地部署加密程序。
同时，此工具还可以让 BlackCat 实现远程系统运行、加密远程服务器消息块 (SMB) 或通用互联网文件 (CIFS) 网络共享。
Palo Alto Networks Unit 42发现，BlackCat 的新 Munchkin 工具是一个定制的 Alpine OS Linux 发行版，以iSO 文件的形式提供。
威胁行为者入侵设备后，会安装 VirtualBox 并使用 Munchkin ISO 创建一个新的虚拟机。而该 Munchkin 虚拟机包含一套脚本和实用程序，允许威胁者转储密码、在网络上横向传播、构建 BlackCat "Sphynx "加密器有效载荷并在网络计算机上执行程序。
启动后，它会将根密码更改为只有攻击者知道的密码，并利用 "tmux "实用程序执行名为 "controller "的基于 Rust 的恶意软件二进制文件，开始加载攻击中使用的脚本。
Unit 42在恶意软件的代码中发现了一条BlackCat作者发给其合作伙伴的消息，特别强调了聊天访问令牌泄露的风险。由于配置用于缺乏加密证书的系统，因此该方法的作者警告他们用户不要将加密的iSO留在目标用户的系统上。
影响勒索软件受害者和网络犯罪分子的一个常见问题是，样本通常会通过恶意软件分析网站泄露。而通过分析勒索软件样本，研究人员就能够可以安全地访问勒索软件团伙与受害者之间的协商聊天内容。
有了Munchkin 后，BlackCat 勒索软件的附属程序能够更轻松地执行各类任务，比如绕过保护受害者设备的安全解决方案。这是因为虚拟机提供了一层与操作系统的隔离层，能够使安全软件的检测和分析更具挑战性。
Alpine OS 的选择确保了较小的数字足迹，而且该工具的自动操作减少了其他无用的干预需求。这意味着您可以通过简单的命令轻松访问所有这些功能，包括在不同的应用程序之间切换。
Munchkin 采用的模块化设计，拥有多种 Python 脚本，其不仅拥有独特的配置还可以根据需求交换有效载荷的能力，能够让工具易于调整以适应特定目标或活动。