Kaspersky Labi teadlased on tuvastanud lunavara "RansomEXX" Linuxi versiooni .
Algselt levitati RansomEXXi ainult Windowsi platvormil ja see sai kuulsaks tänu mitmele suurele intsidendile, mis hõlmasid erinevate valitsusasutuste ja ettevõtete, sealhulgas Texase transpordiministeeriumi ja Konica Minolta süsteemide sulgemist.
Teave RansomEXX-i kohta
RansomEXX krüpteerib ketta andmed ja nõuab seejärel dekrüpteerimisvõtme saamiseks lunaraha.
Krüpteerimist rakendatakse avatud lähtekoodiga mbedtls teeki kasutades . Pärast käivitamist genereerib pahavara 256-bitise võtme ja kasutab seda kõigi saadaolevate failide krüpteerimiseks AES-plokkšifri abil ECB-režiimis.
Pärast seda genereeritakse iga sekund uus AES-võti, mis tähendab, et erinevad failid krüpteeritakse erinevate AES-võtmetega.
Iga AES-võti krüpteeritakse pahavara koodi sisse põimitud ja iga krüptitud faili külge lisatud RSA-4096 avaliku võtmega . Lunavara pakub dekrüpteerimiseks privaatvõtit müüa.
RansomEXXi eripäraks on selle kasutamine sihitud rünnakutes, mille käigus ründajad saavad juurdepääsu ühele võrgusüsteemile haavatavuste kompromiteerimise või sotsiaalse manipuleerimise meetodite abil, misjärel nad ründavad teisi süsteeme ja kasutavad iga rünnatud infrastruktuuri jaoks spetsiaalselt kokku pandud pahavara varianti, mis sisaldab ettevõtte nime ja kõiki erinevaid kontaktandmeid.
Algselt üritasid ründajad ettevõtete võrkude vastu suunatud rünnaku ajal saada kontrolli võimalikult paljude tööjaamade üle, et neile pahavara installida, kuid see strateegia osutus valeks ja paljudel juhtudel installiti süsteemid lihtsalt varukoopia abil uuesti ilma lunaraha maksmata.
Nüüd on küberkurjategijate strateegia muutunud ja nende eesmärk on peamiselt ettevõtete serverisüsteemide ja eriti tsentraliseeritud salvestussüsteemide, sealhulgas Linuxit käitavate süsteemide alistamine.
Seega ei oleks üllatav näha, et RansomEXXi kauplejad on teinud sellest tööstuses määrava trendi; Ka teised lunavaraoperaatorid võivad tulevikus Linuxi versioone juurutada.
Hiljuti avastasime uue Trooja failide krüptimise, mis loodi ELF-i käivitatava failina ja mille eesmärk oli andmete krüptimine Linuxi-põhiste opsüsteemide juhitavatel masinatel.
Pärast esialgset analüüsi märkasime sarnasusi Trooja koodis, lunaraha märkmete tekstis ja väljapressimise üldises lähenemises, mis viitab sellele, et me leidsime tõepoolest varem teadaoleva RansomEXXi lunavara perekonna Linuxi järgu. See pahavara ründab teadaolevalt suuri organisatsioone ja oli selle aasta alguses kõige aktiivsem.
RansomEXX on väga spetsiifiline Trooja. Iga pahavara näidis sisaldab ohvriorganisatsiooni kodeeritud nime. Lisaks kasutavad nii krüpteeritud faili laiendus kui ka e-posti aadress väljapressijatega ühenduse võtmiseks ohvri nime.
Ja see liikumine näib olevat juba alanud. Küberturbeettevõtte Emsisofti sõnul on Mespinoza (Pysa) lunavara taga olevad operaatorid lisaks RansomEXX-ile hiljuti välja töötanud ka Linuxi variandi alates nende algsest Windowsi versioonist. Emsisofti sõnul rakendati nende avastatud RansomEXX Linuxi variante esmakordselt juulis.
See pole esimene kord, kui pahavaraoperaatorid kaaluvad oma pahavara Linuxi versiooni väljatöötamist.
Näiteks võime tuua pahavara KillDisk, mida oli kasutatud Ukrainas 2015. aastal elektrivõrgu halvamiseks.
See variant muutis "Linuxi masinate käivitamise võimatuks pärast failide krüptimist ja suure lunaraha nõudmist". Sellel oli Windowsi versioon ja Linuxi versioon, "mida kindlasti me iga päev ei näe," ütlesid ESETi teadlased.
Lõpuks, kui soovite rohkem teada saada, saate Kaspersky väljaande üksikasjadega tutvuda järgmisel lingil.