Kaspersky Labin tutkijat ovat tunnistaneet Linux-version "RansomEXX" -kiristysohjelmasta .
Aluksi RansomEXX:iä jaettiin vain Windows-alustalle , ja se tuli kuuluisaksi useiden merkittävien tapausten ansiosta, joissa eri valtion virastoille ja yrityksille, kuten Texasin liikenneministeriölle ja Konica Minoltalle, kuuluvia järjestelmiä suljettiin.
Tietoja RansomEXX: stä
RansomEXX salaa levyllä olevat tiedot ja vaatii sitten lunnaita salausavaimen hankkimiseksi.
Salaus toteutetaan avoimen lähdekoodin mbedtls-kirjastolla . Käynnistyksen jälkeen haittaohjelma luo 256-bittisen avaimen ja käyttää sitä kaikkien saatavilla olevien tiedostojen salaamiseen AES-lohkosalauksella ECB-tilassa.
Tämän jälkeen uusi AES-avain luodaan joka sekunti, mikä tarkoittaa, että eri tiedostot salataan eri AES-avaimilla.
Jokainen AES-avain salataan haittaohjelmakoodiin upotetulla ja jokaiseen salattuun tiedostoon liitetyllä RSA-4096-julkisella avaimella . Kiristysohjelma tarjoaa myydä yksityisen avaimen salauksen purkamista varten.
RansomEXX:n erityispiirre on sen käyttö kohdennetuissa hyökkäyksissä, joissa hyökkääjät pääsevät käsiksi johonkin verkon järjestelmistä haavoittuvuuksien tai sosiaalisen manipuloinnin avulla, minkä jälkeen he hyökkäävät muihin järjestelmiin ja käyttävät jokaista hyökättyä infrastruktuuria varten erityisesti koottua haittaohjelmavarianttia, joka sisältää yrityksen nimen ja kaikki yhteystiedot.
Aluksi yritysverkkoihin kohdistuneen hyökkäyksen aikana hyökkääjät yrittivät saada haltuunsa mahdollisimman monta työasemaa asentaakseen niihin haittaohjelmia, mutta tämä strategia osoittautui virheelliseksi, ja monissa tapauksissa järjestelmät yksinkertaisesti asennettiin uudelleen varmuuskopiosta maksamatta lunnaita.
Nyt kyberrikollisten strategia on muuttunut ja heidän tavoitteenaan on ensisijaisesti tuhota yritysten palvelinjärjestelmät ja erityisesti keskitetyt tallennusjärjestelmät, mukaan lukien Linux-käyttöjärjestelmät.
Joten ei olisi yllättävää nähdä, että RansomEXX-kauppiaat ovat tehneet siitä alan määrittelevän trendin; Muut ransomware-operaattorit voivat myös ottaa Linux-versiot käyttöön tulevaisuudessa.
Äskettäin löysimme uuden tiedostojen salauksen, jonka troijalainen luotiin ELF-suoritettavana tiedostona ja jonka tarkoituksena oli salata tietoja koneilla, joita Linux-pohjaiset käyttöjärjestelmät ohjaavat.
Alustavan analyysin jälkeen huomasimme yhtäläisyyksiä troijalaisen koodissa, lunnaatekstien tekstissä ja yleisessä lähestymistavassa kiristykseen, mikä viittaa siihen, että olimme todellakin löytäneet Linux-version aikaisemmasta RansomEXX-lunnasohjelmaperheestä. Tämän haittaohjelman tiedetään hyökkäävän suuriin organisaatioihin, ja se oli aktiivisin aiemmin tänä vuonna.
RansomEXX on hyvin spesifinen troijalainen. Jokainen haittaohjelmanäyte sisältää kovakoodatun uhriorganisaation nimen. Lisäksi sekä salatun tiedoston laajennus että sähköpostiosoite yhteydenottoon kiristäjiin käyttävät uhrin nimeä.
Ja tämä liike näyttää olevan jo alkanut. Kyberturvallisuusyrityksen Emsisoftin mukaan Mespinoza (Pysa) lunnasohjelman takana olevat operaattorit ovat RansomEXX: n lisäksi äskettäin kehittäneet Linux-version alkuperäisestä Windows-versiosta alkaen. Emsisoftin mukaan heidän löytämänsä RansomEXX Linux -variantit otettiin käyttöön ensimmäisen kerran heinäkuussa.
Tämä ei ole ensimmäinen kerta, kun haittaohjelmien operaattorit ovat harkinneet Linux-version kehittämistä haittaohjelmistaan.
Voimme esimerkiksi vedota KillDisk-haittaohjelman tapaukseen, jota oli käytetty halvaamaan sähköverkko Ukrainassa vuonna 2015.
Tämä muunnos teki "Linux-koneiden käynnistämisen mahdottomaksi sen jälkeen, kun tiedostot oli salattu ja vaatinut suurta lunnaita". Siinä oli Windows- ja Linux-versio, "jota emme todellakaan näe päivittäin", ESET-tutkijat totesivat.
Lopuksi, jos haluat lisätietoja, voit tutustua Kasperskyn julkaisun tietoihin seuraavasta linkistä.