Broken VECT 2.0 ransomware acts as a data wiper for large files

Broken VECT 2.0 ransomware acts as a data wiper for large files By Bill Toulas April 28, 2026 05:25 PM 0 Researchers are warning that the VECT 2.0 ransomware has a problem in the way it handles encryption nonces that leads to permanently destroying larger files rather than encrypt them. VECT has been advertised on one of the latest BreachForums iterations, inviting registered users to become affiliates, and distributing access keys via private messages to those who showed interest. At some point, VECT operators announced a partnership with TeamPCP, the threat group responsible for the recent supply-chain attacks impacting Trivy, LiteLLM, and Telnyx, as well as an attack against the European Commission. In the announcement, VECT operators stated that their goal was to exploit victims of those supply-chain compromises, deploying ransomware payloads in their environments, as well as to conduct larger supply-chain attacks against other organizations. While this is meant to increase encryption speed for larger files, because all chunk encryptions use the same memory buffer for the nonce output, each new nonce overwrites the previous one. Once all chunks are processed, only the last nonce generated remains in memory, and only that one is written to disk. As a result, the only portion of the file that is recoverable is the last 25%, with the previous three parts being impossible to decrypt, as the nonces have been lost. Those lost nonces aren’t transmitted to the attacker either, so even if VECT operators wanted to decrypt the files for victims paying the ransom, they wouldn’t be able to. Check Point notes that, since most valuable enterprise files, including VM disks, database files, and backups, are above 128kb, VECT’s impact as a data wiper can be catastrophic in most environments. “At a threshold of only 128 KB, smaller than a typical email attachment or office document, what the code classifies as a large file encompasses not just VM disks, databases, and backups, but routine documents, spreadsheets, and mailboxes. In practice, almost nothing a victim would care to recover falls below this boundary,” Check Point says. The researchers found that the same nonce-handling flaw is present across all variants of the VECT 2.0 ransomware, including Windows, Linux, and ESXi, so the same data-wiping behavior applies across all cases.

Los investigadores han advertido que el ransomware VECT 2.0 presenta un fallo en la gestión de nonces de cifrado que, en lugar de encriptar archivos grandes, los destruye permanentemente. VECT se ha promocionado en una de las últimas iteraciones de BreachForums, invitando a usuarios registrados a convertirse en afiliados y distribuyendo claves de acceso mediante mensajes privados a quienes mostraron interés.

En un momento dado, los operadores de VECT anunciaron una asociación con TeamPCP, el grupo de amenazas responsable de los recientes ataques a la cadena de suministro que afectaron a Trivy, LiteLLM y Telnyx, así como un ataque contra la Comisión Europea. En el anuncio, los operadores de VECT declararon que su objetivo era explotar a las víctimas de esos compromisos en la cadena de suministro, implementando cargas de ransomware en sus entornos, así como llevar a cabo ataques más grandes contra otras organizaciones.

Ransomware defectuoso

Aunque esto está diseñado para aumentar la velocidad de cifrado de archivos grandes, debido a que todos los cifrados por fragmentos utilizan el mismo búfer de memoria para la salida del nonce, cada nuevo nonce sobrescribe el anterior. Una vez que se procesan todos los fragmentos, solo el último nonce generado permanece en la memoria, y solo ese se escribe en el disco.

Como resultado, la única parte del archivo que se puede recuperar es el último 25%, siendo imposible descifrar las tres partes anteriores, ya que los nonces se han perdido. Esos nonces perdidos tampoco se transmiten al atacante, por lo que incluso si los operadores de VECT quisieran descifrar los archivos para las víctimas que paguen el rescate, no podrían.

Check Point señala que, dado que la mayoría de los archivos empresariales valiosos, incluyendo discos de máquinas virtuales, archivos de bases de datos y copias de seguridad, superan los 128 KB, el impacto de VECT como destructor de datos puede ser catastrófico en la mayoría de los entornos.

Con un umbral de solo 128 KB, más pequeño que un archivo adjunto de correo electrónico típico o un documento de oficina, lo que el código clasifica como archivo grande abarca no solo discos de máquinas virtuales, bases de datos y copias de seguridad, sino documentos rutinarios, hojas de cálculo y buzones de correo. En la práctica, casi nada que una víctima quisiera recuperar cae por debajo de este límite.

Los investigadores descubrieron que el mismo fallo en el manejo de nonces está presente en todas las variantes del ransomware VECT 2.0, incluyendo Windows, Linux y ESXi, por lo que el mismo comportamiento de destrucción de datos se aplica en todos los casos.