Forscher von Kaspersky Lab haben eine Linux-Version der Ransomware-Malware „RansomEXX“ identifiziert.
RansomEXX wurde zunächst nur auf der Windows-Plattform vertrieben und erlangte Bekanntheit durch mehrere größere Vorfälle, bei denen Systeme verschiedener Regierungsbehörden und Unternehmen, darunter das Verkehrsministerium von Texas und Konica Minolta, lahmgelegt wurden.
Über RansomEXX
RansomEXX verschlüsselt die Daten auf der Festplatte und fordert anschließend ein Lösegeld für den Entschlüsselungsschlüssel.
Die Verschlüsselung erfolgt mithilfe der Open-Source-Bibliothek mbedtls . Nach dem Start generiert die Malware einen 256-Bit-Schlüssel und verschlüsselt damit alle verfügbaren Dateien mittels AES-Blockchiffre im ECB-Modus.
Danach wird jede Sekunde ein neuer AES-Schlüssel generiert, sodass verschiedene Dateien mit unterschiedlichen AES-Schlüsseln verschlüsselt werden.
Jeder AES-Schlüssel wird mithilfe eines im Malware-Code eingebetteten und jeder verschlüsselten Datei beigefügten RSA-4096-Schlüssels verschlüsselt . Die Ransomware bietet an, einen privaten Schlüssel zur Entschlüsselung zu verkaufen.
Eine Besonderheit von RansomEXX ist seine Verwendung bei gezielten Angriffen. Dabei verschaffen sich die Angreifer Zugang zu einem der Systeme im Netzwerk durch das Ausnutzen von Sicherheitslücken oder durch Social-Engineering-Methoden. Anschließend greifen sie weitere Systeme an und setzen für jede angegriffene Infrastruktur eine speziell zusammengestellte Malware-Variante ein, die den Firmennamen und die verschiedenen Kontaktdaten enthält.
Anfangs versuchten die Angreifer bei dem Angriff auf Unternehmensnetzwerke , die Kontrolle über möglichst viele Arbeitsstationen zu erlangen, um dort Schadsoftware zu installieren. Diese Strategie erwies sich jedoch als falsch, und in vielen Fällen wurden die Systeme einfach mithilfe eines Backups neu installiert, ohne dass das Lösegeld gezahlt wurde.
Die Strategie der Cyberkriminellen hat sich inzwischen geändert ; ihr Ziel ist es nun in erster Linie, Serversysteme von Unternehmen und insbesondere zentralisierte Speichersysteme, einschließlich solcher, die unter Linux laufen, außer Gefecht zu setzen.
Daher wäre es nicht verwunderlich, dass RansomEXX-Händler dies zu einem bestimmenden Trend in der Branche gemacht haben. Andere Ransomware-Betreiber stellen möglicherweise in Zukunft auch Linux-Versionen bereit.
Wir haben kürzlich einen neuen Trojaner für die Dateiverschlüsselung entdeckt, der als ausführbare ELF-Datei erstellt wurde und Daten auf Computern verschlüsseln soll, die von Linux-basierten Betriebssystemen gesteuert werden.
Nach der ersten Analyse stellten wir Ähnlichkeiten im Trojaner-Code, im Text der Lösegeldnotizen und im allgemeinen Ansatz zur Erpressung fest, was darauf hindeutet, dass wir tatsächlich einen Linux-Build der zuvor bekannten RansomEXX-Familie von Ransomware gefunden hatten. Diese Malware greift bekanntermaßen große Unternehmen an und war Anfang dieses Jahres am aktivsten.
RansomEXX ist ein sehr spezifischer Trojaner. Jedes Beispiel der Malware enthält einen verschlüsselten Namen der Opferorganisation. Darüber hinaus verwenden sowohl die Erweiterung der verschlüsselten Datei als auch die E-Mail-Adresse zur Kontaktaufnahme mit den Erpressern den Namen des Opfers.
Und diese Bewegung scheint bereits begonnen zu haben. Laut dem Cybersicherheitsunternehmen Emsisoft haben die Betreiber der Ransomware Mespinoza (Pysa) neben RansomEXX kürzlich auch eine Linux-Variante aus ihrer ursprünglichen Windows-Version entwickelt. Laut Emsisoft wurden die entdeckten RansomEXX Linux-Varianten erstmals im Juli implementiert.
Dies ist nicht das erste Mal, dass Malware-Betreiber in Betracht ziehen, eine Linux-Version ihrer Malware zu entwickeln.
Zum Beispiel können wir den Fall der KillDisk-Malware anführen, mit der 2015 ein Stromnetz in der Ukraine gelähmt wurde.
Diese Variante machte "das Booten von Linux-Maschinen unmöglich, nachdem die Dateien verschlüsselt wurden und ein hohes Lösegeld verlangt wurde." Es gab eine Version für Windows und eine Version für Linux, "was wir definitiv nicht jeden Tag sehen", stellten die ESET-Forscher fest.
Wenn Sie mehr erfahren möchten, können Sie die Details der Kaspersky-Veröffentlichung unter folgendem Link einsehen.