Οι ερευνητές της Kaspersky Lab εντόπισαν μια έκδοση Linux του κακόβουλου λογισμικού ransomware "RansomEXX" .
Αρχικά, το RansomEXX διανεμόταν μόνο στην πλατφόρμα των Windows και έγινε διάσημο λόγω αρκετών σημαντικών περιστατικών που αφορούσαν την κατάργηση συστημάτων που ανήκαν σε διάφορες κυβερνητικές υπηρεσίες και εταιρείες, συμπεριλαμβανομένου του Υπουργείου Μεταφορών του Τέξας και της Konica Minolta.
Σχετικά με το RansomEXX
Το RansomEXX κρυπτογραφεί τα δεδομένα στον δίσκο και στη συνέχεια απαιτεί λύτρα για να αποκτήσει το κλειδί αποκρυπτογράφησης.
Η κρυπτογράφηση υλοποιείται χρησιμοποιώντας τη βιβλιοθήκη ανοιχτού κώδικα mbedtls . Μόλις εκκινηθεί, το κακόβουλο λογισμικό δημιουργεί ένα κλειδί 256-bit και το χρησιμοποιεί για την κρυπτογράφηση όλων των διαθέσιμων αρχείων χρησιμοποιώντας κρυπτογράφηση μπλοκ AES σε λειτουργία ECB.
Μετά από αυτό, δημιουργείται ένα νέο κλειδί AES κάθε δευτερόλεπτο, που σημαίνει ότι διαφορετικά αρχεία κρυπτογραφούνται με διαφορετικά κλειδιά AES.
Κάθε κλειδί AES κρυπτογραφείται χρησιμοποιώντας ένα δημόσιο κλειδί RSA-4096 που είναι ενσωματωμένο στον κώδικα κακόβουλου λογισμικού και είναι προσαρτημένο σε κάθε κρυπτογραφημένο αρχείο . Το ransomware προσφέρει την πώληση ενός ιδιωτικού κλειδιού για αποκρυπτογράφηση.
Ένα ιδιαίτερο χαρακτηριστικό του RansomEXX είναι η χρήση του σε στοχευμένες επιθέσεις, κατά τις οποίες οι εισβολείς αποκτούν πρόσβαση σε ένα από τα συστήματα του δικτύου μέσω της παραβίασης τρωτών σημείων ή μεθόδων κοινωνικής μηχανικής, μετά την οποία επιτίθενται σε άλλα συστήματα και αναπτύσσουν μια ειδικά συναρμολογημένη παραλλαγή κακόβουλου λογισμικού για κάθε υποδομή που δέχεται επίθεση, συμπεριλαμβανομένου του ονόματος της εταιρείας και καθενός από τα διαφορετικά στοιχεία επικοινωνίας.
Αρχικά, κατά τη διάρκεια της επίθεσης σε εταιρικά δίκτυα , οι εισβολείς προσπάθησαν να αποκτήσουν τον έλεγχο όσο το δυνατόν περισσότερων σταθμών εργασίας για να εγκαταστήσουν κακόβουλο λογισμικό σε αυτούς, αλλά αυτή η στρατηγική αποδείχθηκε λανθασμένη και σε πολλές περιπτώσεις τα συστήματα απλώς επανεγκαταστάθηκαν χρησιμοποιώντας ένα αντίγραφο ασφαλείας χωρίς να καταβληθούν τα λύτρα.
Τώρα η στρατηγική των κυβερνοεγκληματιών έχει αλλάξει και ο στόχος τους είναι κυρίως να καταπολεμήσουν τα εταιρικά συστήματα διακομιστών και ιδιαίτερα τα κεντρικά συστήματα αποθήκευσης, συμπεριλαμβανομένων εκείνων που χρησιμοποιούν Linux.
Επομένως, δεν θα ήταν έκπληξη το γεγονός ότι οι έμποροι της RansomEXX το έχουν κάνει μια καθοριστική τάση στον κλάδο. Άλλοι χειριστές ransomware ενδέχεται επίσης να αναπτύξουν εκδόσεις Linux στο μέλλον.
Ανακαλύψαμε πρόσφατα ένα νέο trojan κρυπτογράφησης αρχείων που δημιουργήθηκε ως εκτελέσιμο ELF και προοριζόταν να κρυπτογραφήσει δεδομένα σε μηχανήματα που ελέγχονται από λειτουργικά συστήματα που βασίζονται σε Linux.
Μετά την αρχική ανάλυση, παρατηρήσαμε ομοιότητες στον κώδικα του Δούρειου, το κείμενο των σημειώσεων λύτρων και τη γενική προσέγγιση της εκβιασμού, υποδηλώνοντας ότι πράγματι βρήκαμε μια κατασκευή Linux της προηγούμενης γνωστής οικογένειας RansomEXX ransomware. Αυτό το κακόβουλο λογισμικό είναι γνωστό ότι επιτίθεται σε μεγάλους οργανισμούς και ήταν πιο ενεργό νωρίτερα φέτος.
Το RansomEXX είναι ένα πολύ συγκεκριμένο Trojan. Κάθε δείγμα κακόβουλου λογισμικού περιέχει ένα όνομα κωδικού πρόσβασης του οργανισμού θύματος. Επιπλέον, τόσο η επέκταση του κρυπτογραφημένου αρχείου όσο και η διεύθυνση email για επικοινωνία με τους εκβιαστές χρησιμοποιούν το όνομα του θύματος.
Και αυτό το κίνημα φαίνεται να έχει ήδη ξεκινήσει. Σύμφωνα με την εταιρεία κυβερνοασφάλειας Emsisoft, εκτός από το RansomEXX, οι χειριστές πίσω από το ransomware Mespinoza (Pysa) έχουν επίσης αναπτύξει πρόσφατα μια παραλλαγή Linux από την αρχική τους έκδοση των Windows. Σύμφωνα με την Emsisoft, οι παραλλαγές RansomEXX Linux που ανακάλυψαν εφαρμόστηκαν για πρώτη φορά τον Ιούλιο.
Δεν είναι η πρώτη φορά που οι χειριστές κακόβουλου λογισμικού σκέφτηκαν να αναπτύξουν μια έκδοση Linux του κακόβουλου λογισμικού τους.
Για παράδειγμα, μπορούμε να αναφέρουμε την περίπτωση του κακόβουλου λογισμικού KillDisk, το οποίο είχε χρησιμοποιηθεί για την παράλυση ενός δικτύου ηλεκτρικής ενέργειας στην Ουκρανία το 2015.
Αυτή η παραλλαγή έκανε "αδύνατη την εκκίνηση των μηχανών Linux, αφού κρυπτογράφησαν τα αρχεία και απαιτούσαν μια μεγάλη λύτρα." Είχε μια έκδοση για Windows και μια έκδοση για Linux, "που σίγουρα είναι κάτι που δεν βλέπουμε καθημερινά", δήλωσαν οι ερευνητές του ESET.
Τέλος, αν θέλετε να μάθετε περισσότερα, μπορείτε να συμβουλευτείτε τις λεπτομέρειες της δημοσίευσης της Kaspersky στον παρακάτω σύνδεσμο.