Výzkumníci ze společnosti Kaspersky Lab identifikovali linuxovou verzi malwaru RansomEXX .
RansomEXX byl zpočátku distribuován pouze na platformě Windows a proslavil se díky několika závažným incidentům zahrnujícím vyřazení systémů patřících různým vládním agenturám a společnostem, včetně texaského ministerstva dopravy a společnosti Konica Minolta.
O společnosti RansomEXX
RansomEXX zašifruje data na disku a poté požaduje výkupné za získání dešifrovacího klíče.
Šifrování je implementováno pomocí open-source knihovny mbedtls . Po spuštění malware generuje 256bitový klíč a používá ho k zašifrování všech dostupných souborů pomocí blokové šifry AES v režimu ECB.
Poté se každou sekundu generuje nový klíč AES, což znamená, že různé soubory jsou šifrovány různými klíči AES.
Každý klíč AES je šifrován pomocí veřejného klíče RSA-4096, který je vložen do kódu malwaru a připojen ke každému zašifrovanému souboru . Ransomware nabízí k prodeji soukromý klíč pro dešifrování.
Zvláštností RansomEXX je jeho použití v cílených útocích, během nichž útočníci získají přístup k jednomu ze systémů v síti prostřednictvím kompromitace zranitelností nebo metod sociálního inženýrství, načež zaútočí na další systémy a pro každou napadenou infrastrukturu nasadí speciálně sestavenou variantu malwaru, včetně názvu společnosti a všech kontaktních údajů.
Zpočátku se útočníci během útoku na firemní sítě snažili získat kontrolu nad co největším počtem pracovních stanic, aby na ně nainstalovali malware, ale tato strategie se ukázala jako nesprávná a v mnoha případech byly systémy jednoduše přeinstalovány pomocí zálohy bez zaplacení výkupného.
Strategie kyberzločinců se nyní změnila a jejich cílem je primárně porazit firemní serverové systémy a zejména centralizované úložné systémy, včetně těch s operačním systémem Linux.
Nebylo by proto překvapením vidět, že obchodníci společnosti RansomEXX z ní učinili určující trend v tomto odvětví; Další operátoři ransomwaru mohou v budoucnu nasadit také verze systému Linux.
Nedávno jsme objevili nové trojské šifrování souborů vytvořené jako spustitelný soubor ELF a určené k šifrování dat na strojích ovládaných operačními systémy založenými na Linuxu.
Po počáteční analýze jsme si všimli podobností v kódu Trojana, textu poznámek o výkupném a obecného přístupu k vydírání, což naznačuje, že jsme ve skutečnosti našli Linuxovou sestavu dříve známé rodiny ransomEXX ransomware. Je známo, že tento malware útočí na velké organizace a byl nejaktivnější na začátku tohoto roku.
RansomEXX je velmi specifický trojský kůň. Každý vzorek malwaru obsahuje zakódovaný název organizace oběti. Kromě toho přípona šifrovaného souboru a e-mailová adresa pro kontaktování vydíratelů používají jméno oběti.
A zdá se, že toto hnutí již začalo. Podle firmy Emsisoft pro kybernetickou bezpečnost vyvinuli kromě RansomEXX i operátoři ransomwaru Mespinoza (Pysa) také variantu Linuxu z jejich původní verze Windows. Podle Emsisoftu byly varianty RansomEXX Linux, které objevili, poprvé implementovány v červenci.
Není to poprvé, co provozovatelé malwaru uvažují o vývoji linuxové verze svého malwaru.
Můžeme například uvést případ malwaru KillDisk, který byl použit v roce 2015 k paralyzování energetické sítě na Ukrajině.
Tato varianta znemožnila „spuštění strojů Linux po zašifrování souborů a požadavku velkého výkupného.“ Měl verzi pro Windows a verzi pro Linux, „což je určitě něco, co nevidíme každý den,“ poznamenali vědci ESET.
Pokud se chcete dozvědět více, podrobnosti o publikaci společnosti Kaspersky si můžete přečíst na následujícím odkazu.