Istraživači Kaspersky Laba identificirali su Linux verziju zlonamjernog softvera "RansomEXX" .
U početku se RansomEXX distribuirao samo na Windows platformi i postao je poznat zbog nekoliko velikih incidenata koji su uključivali rušenje sustava u vlasništvu raznih vladinih agencija i tvrtki, uključujući Teksaški odjel za promet i Konica Minoltu.
O RansomEXX-u
RansomEXX šifrira podatke na disku, a zatim traži otkupninu kako bi dobio ključ za dešifriranje.
Šifriranje se provodi pomoću biblioteke otvorenog koda mbedtls . Nakon pokretanja, zlonamjerni softver generira 256-bitni ključ i koristi ga za šifriranje svih dostupnih datoteka pomoću AES blok šifre u ECB načinu rada.
Nakon toga, novi AES ključ se generira svake sekunde, što znači da su različite datoteke šifrirane različitim AES ključevima.
Svaki AES ključ šifriran je pomoću javnog ključa RSA-4096 ugrađenog u kod zlonamjernog softvera i priloženog svakoj šifriranoj datoteci . Ransomware nudi na prodaju privatni ključ za dešifriranje.
Posebnost RansomEXX-a je njegova upotreba u ciljanim napadima, tijekom kojih napadači dobivaju pristup jednom od sustava na mreži kompromitiranjem ranjivosti ili metodama socijalnog inženjeringa, nakon čega napadaju druge sustave i implementiraju posebno sastavljenu varijantu zlonamjernog softvera za svaku napadnutu infrastrukturu, uključujući naziv tvrtke i svaki od različitih kontaktnih podataka.
U početku su, tijekom napada na korporativne mreže , napadači pokušavali preuzeti kontrolu nad što više radnih stanica kako bi na njih instalirali zlonamjerni softver, ali ta se strategija pokazala netočnom i u mnogim slučajevima sustavi su jednostavno ponovno instalirani pomoću sigurnosne kopije bez plaćanja otkupnine.
Sada se strategija kibernetičkih kriminalaca promijenila i njihov je cilj prvenstveno poraziti korporativne serverske sustave , a posebno centralizirane sustave za pohranu podataka, uključujući one koji koriste Linux.
Stoga ne bi bilo iznenađujuće kad bismo vidjeli da su trgovci RansomEXX-om učinili to definirajućim trendom u industriji; Ostali operateri ransomwarea također će u budućnosti moći implementirati verzije Linuxa.
Nedavno smo otkrili novi trojanski šifrirajući datoteku stvoren kao ELF izvršnu datoteku i namijenjen šifriranju podataka na strojevima pod nadzorom operativnih sustava zasnovanih na Linuxu.
Nakon početne analize primijetili smo sličnosti u trojanskom kodu, tekstu napomena o otkupnini i cjelokupnom pristupu iznudi, što sugerira da smo doista pronašli Linux zgradu ranije poznate RansomEXX obitelji ransomware. Poznato je da ovaj zlonamjerni softver napada velike organizacije, a najaktivniji je bio početkom ove godine.
RansomEXX je vrlo specifičan trojanski virus. Svaki uzorak zlonamjernog softvera sadrži kodirano ime organizacije žrtava. Uz to, i nastavak šifrirane datoteke i adresa e-pošte za kontakt s iznuđivačima koriste ime žrtve.
I čini se da je ovaj pokret već započeo. Prema tvrtki za kibernetsku sigurnost Emsisoft, osim RansomEXX-a, i operateri koji stoje iza Mespinoza (Pysa) ransomware-a nedavno su razvili i Linux verziju od svoje početne verzije Windows-a. Prema Emsisoftu, inačice RansomEXX Linuxa koje su otkrili prvi su put implementirane u srpnju.
Ovo nije prvi put da operateri zlonamjernog softvera razmišljaju o razvoju Linux verzije svog zlonamjernog softvera.
Na primjer, možemo navesti slučaj zlonamjernog softvera KillDisk, koji je korišten za paraliziranje električne mreže u Ukrajini 2015. godine.
Ova je varijanta onemogućila "pokretanje Linux strojeva nakon što su šifrirali datoteke i zatražili veliku otkupninu." Imao je verziju za Windows i verziju za Linux, "što je definitivno nešto što ne viđamo svaki dan", primijetili su istraživači ESET-a.
Konačno, ako želite saznati više, detalje Kasperskyjeve publikacije možete pronaći na sljedećoj poveznici.