Va ser detectada una versió de RansomEXX per a Linux

Els investigadors de Kaspersky Lab han identificat una versió per a Linux del malware ransomware «RansomEXX».

Inicialment, RansomEXX es va distribuir només a la plataforma Windows i es va fer famós a causa de diversos incidents importants amb la derrota dels sistemes de diverses agències i empreses governamentals, inclòs el Departament de Transport de Texas i Konica Minolta.

sobre RansomEXX

RansomEXX xifra les dades al disc i després requereix un rescat per obtenir la clau de desxifrat.

El xifratge s'organitza fent servir la biblioteca mbedtls de codi obert. Un cop llançat, el codi maliciós (malware) genera una clau de 256 bits i la usa per xifrar tots els fitxers disponibles utilitzant el xifratge de bloc AES en mode ECB.

Posteriorment, es genera una nova clau AES cada segon, és a dir, diferents fitxers es xifren amb diferents claus AES.

Cada clau AES es xifra mitjançant una clau pública RSA-4096 incrustada al codi de codi maliciós (malware) i s'adjunta a cada fitxer xifrat . Per al desxifrat, el ransomware ofereix comprar una clau privada.

Una característica especial de RansomEXX és el seu ús en atacs dirigits, durant els quals els atacants obtenen accés a un dels sistemes a la xarxa a través del compromís de vulnerabilitats o mètodes d'enginyeria social, després d'això ataquen altres sistemes i implementen una variant de codi maliciós especialment acoblada per a cada infraestructura atacada, inclòs el nom de l'empresa i cadascuna de les diferents dades.

Inicialment, durant l'atac a les xarxes corporatives , els atacants van intentar aconseguir el control de tantes estacions de treball com fos possible per instal·lar codi maliciós (malware), però aquesta estratègia va resultar ser incorrecta i en molts casos els sistemes simplement es van reinstal·lar utilitzant una còpia de seguretat sense pagar el rescat.

Ara l'estratègia dels ciberdelinqüents ha canviat i el seu objectiu era derrotar principalment els sistemes de servidors corporatius i especialment els sistemes d'emmagatzematge centralitzats, inclosos els que executen Linux.

Per tant, no seria sorprenent veure que els operadors de RansomEXX han fet que es converteixi en una tendència definitòria en la indústria; altres operadors de ransomware també poden implementar versions de Linux en el futur.

Recentment, vam descobrir un nou troià de xifrat d'arxius creat com un executable ELF i destinat a xifrar dades en màquines controlades per sistemes operatius basats en Linux.

Després de l'anàlisi inicial, vam notar similituds en el codi de l'troià, el text de les notes de rescat i l'enfocament general de l'extorsió, el que suggeria que de fet havíem trobat un recull de Linux de la família de ransomware anteriorment coneguda RansomEXX. Aquest malware és conegut per atacar grans organitzacions i va estar més actiu a principis d'aquest any.

RansomEXX és un troià molt específic. Cada mostra de l'malware conté un nom codificat de l'organització víctima. A més, tant l'extensió de l'arxiu xifrat com l'adreça de correu electrònic per contactar als extorsionadors fan ús de el nom de la víctima.

I aquest moviment sembla haver començat ja. Segons la signatura de ciberseguretat Emsisoft, a més de RansomEXX, els operadors darrere de l'ransomware Mespinoza (Pysa) també han desenvolupat recentment una variant de Linux a partir de la seva versió inicial de Windows. Segons Emsisoft, les variants de RansomEXX Linux que van descobrir es van implementar per primera vegada al juliol.

Aquesta no és la primera vegada que els operadors de malware han considerat desenvolupar una versió per a Linux de la seva malware.

Per exemple, podem citar el cas de l'malware KillDisk, que s'havia utilitzat per paralitzar una xarxa elèctrica a Ucraïna el 2015.

Aquesta variant va fer que «les màquines Linux fossin impossibles d'arrencar, després d'haver xifrat dels arxius i exigit un gran rescat». Tenia una versió per a Windows i una versió per a Linux, «que definitivament és una cosa que no veiem tots els dies», van assenyalar els investigadors d'ESET.

Finalment, si vols conèixer més sobre això, pots consultar els detalls de la publicació de Kaspersky al següent enllaç.