Изследователи от Kaspersky Lab са идентифицирали Linux версия на зловредния софтуер за рансъмуер "RansomEXX" .
Първоначално RansomEXX се разпространяваше само на платформата Windows и стана известен благодарение на няколко големи инцидента, свързани с премахването на системи, принадлежащи на различни правителствени агенции и компании, включително Министерството на транспорта на Тексас и Konica Minolta.
Относно RansomEXX
RansomEXX криптира данните на диска и след това изисква откуп, за да получи ключа за декриптиране.
Криптирането се осъществява с помощта на библиотеката с отворен код mbedtls . След стартиране, зловредният софтуер генерира 256-битов ключ и го използва за криптиране на всички налични файлове, използвайки AES блоков шифър в ECB режим.
След това всяка секунда се генерира нов AES ключ, което означава, че различните файлове се криптират с различни AES ключове.
Всеки AES ключ е криптиран с помощта на публичен ключ RSA-4096, вграден в кода на зловредния софтуер и прикачен към всеки криптиран файл . Рансъмуерът предлага да продаде частен ключ за декриптиране.
Специална характеристика на RansomEXX е използването му при целенасочени атаки, по време на които нападателите получават достъп до една от системите в мрежата чрез компрометиране на уязвимости или методи на социално инженерство, след което атакуват други системи и внедряват специално сглобен вариант на зловреден софтуер за всяка атакувана инфраструктура, включително името на компанията и всяка от различните данни за контакт.
Първоначално, по време на атаката срещу корпоративни мрежи , нападателите се опитаха да получат контрол над колкото се може повече работни станции, за да инсталират зловреден софтуер върху тях, но тази стратегия се оказа неправилна и в много случаи системите просто бяха преинсталирани с помощта на резервно копие, без да се плаща откупът.
Сега стратегията на киберпрестъпниците се е променила и целта им е предимно да победят корпоративните сървърни системи и особено централизираните системи за съхранение, включително тези, работещи с Linux.
Така че не би било изненадващо да се види, че търговците на RansomEXX са го превърнали в определяща тенденция в бранша; Други оператори на рансъмуер също могат да внедрят версии на Linux в бъдеще.
Наскоро открихме нов троянски код за шифроване на файлове, създаден като ELF изпълним файл и предназначен за криптиране на данни на машини, контролирани от операционни системи, базирани на Linux.
След първоначалния анализ забелязахме сходства в кода на троянския код, текста на бележките за откупа и цялостния подход към изнудването, което предполага, че наистина сме намерили Linux компилация на известното преди това семейство RansomEXX на рансъмуер. Известно е, че този зловреден софтуер атакува големи организации и е бил най-активен по-рано тази година.
RansomEXX е много специфичен троянец. Всяка проба от зловреден софтуер съдържа твърдо кодирано име на организацията жертва. Освен това, както разширението на криптирания файл, така и имейл адресът за връзка с изнудвачите използват името на жертвата.
И това движение изглежда вече е започнало. Според фирмата за киберсигурност Emsisoft, в допълнение към RansomEXX, операторите зад рансъмуера Mespinoza (Pysa) също наскоро са разработили вариант на Linux, започвайки от първоначалната си версия на Windows. Според Emsisoft, откритите от тях варианти на RansomEXX Linux са внедрени за първи път през юли.
Това не е първият път, в който операторите на зловреден софтуер обмислят да разработят Linux версия на своя зловреден софтуер.
Например можем да цитираме случая със зловредния софтуер KillDisk, който е бил използван за парализиране на електрическа мрежа в Украйна през 2015 г.
Този вариант направи "машините на Linux невъзможни за зареждане, след като са шифровали файловете и са поискали голям откуп." Имаше версия за Windows и версия за Linux, "което определено е нещо, което не виждаме всеки ден", отбелязват изследователите на ESET.
Накрая, ако искате да научите повече, можете да се запознаете с подробностите от публикацията на Kaspersky на следния линк.