A Kaspersky Lab kutatói azonosították a „RansomEXX” zsarolóvírus Linux verzióját .
A RansomEXX kezdetben csak Windows platformon volt elérhető , és számos jelentős incidensnek köszönhetően vált híressé, amelyek különböző kormányzati szervek és vállalatok, köztük a Texasi Közlekedési Minisztérium és a Konica Minolta rendszereinek leállításával jártak.
A RansomEXX-ről
A RansomEXX titkosítja a lemezen lévő adatokat, majd váltságdíjat követel a visszafejtési kulcs megszerzéséért.
A titkosítást a nyílt forráskódú mbedtls könyvtár segítségével valósítják meg . Elindítás után a rosszindulatú program egy 256 bites kulcsot generál , és azt használja az összes elérhető fájl titkosítására AES blokkrejtjelezéssel ECB módban.
Ezt követően másodpercenként generálódik egy új AES kulcs, ami azt jelenti, hogy a különböző fájlok különböző AES kulcsokkal vannak titkosítva.
Minden AES kulcsot egy RSA-4096 nyilvános kulccsal titkosítanak, amely a rosszindulatú kódba van ágyazva , és minden titkosított fájlhoz csatolva van . A zsarolóvírus egy privát kulcs eladását kínálja fel a visszafejtéshez.
A RansomEXX egyik különlegessége a célzott támadásokban való alkalmazás, amelyek során a támadók sebezhetőségek feltörésével vagy társadalmi manipuláció módszereivel férnek hozzá a hálózat egyik rendszeréhez, majd más rendszereket támadnak meg, és minden megtámadott infrastruktúrához speciálisan összeállított rosszindulatú program-variánst telepítenek, beleértve a cég nevét és az egyes elérhetőségeket.
A vállalati hálózatok elleni támadás során a támadók kezdetben megpróbáltak minél több munkaállomás felett megszerezni az irányítást , hogy kártevőket telepíthessenek rájuk, de ez a stratégia helytelennek bizonyult, és sok esetben a rendszereket egyszerűen újratelepítették egy biztonsági mentésből, váltságdíj kifizetése nélkül.
A kiberbűnözők stratégiája most megváltozott , és céljuk elsősorban a vállalati szerverrendszerek és különösen a központosított tárolórendszerek, köztük a Linuxot futtató rendszerek legyőzése.
Ezért nem lenne meglepő látni, hogy a RansomEXX kereskedők meghatározó tendenciává tették azt az iparban; A jövőben más ransomware-üzemeltetők is telepíthetik a Linux verzióit.
Nemrégiben felfedeztünk egy új trójai fájltitkosítást, amelyet ELF futtatható fájlként hoztak létre, és amelynek célja a Linux alapú operációs rendszerek által vezérelt gépek adatainak titkosítása.
A kezdeti elemzés után hasonlóságokat észleltünk a trójai kódban, a váltságdíjas jegyzetek szövegében és a zsarolás általános megközelítésében, ami arra utal, hogy valójában megtaláltuk a korábban ismert RansomEXX ransomware család Linux felépítését. Ez a kártevő köztudottan nagy szervezeteket támad meg, és ez év elején volt a legaktívabb.
A RansomEXX egy nagyon specifikus trójai program. A rosszindulatú programok minden mintája tartalmazza az áldozatok szervezetének kódolt nevét. Továbbá mind a titkosított fájl kiterjesztése, mind az e-mail cím a zsarolókkal való kapcsolatfelvétel érdekében az áldozat nevét használja.
És úgy tűnik, hogy ez a mozgalom már elkezdődött. Az Emsisoft kiberbiztonsági cég szerint a RansomEXX mellett a Mespinoza (Pysa) ransomware mögött álló operátorok a közelmúltban fejlesztettek ki egy Linux változatot is a Windows eredeti verziójából. Az Emsisoft szerint az általuk felfedezett RansomEXX Linux variánsokat először júliusban hajtották végre.
Nem ez az első eset, hogy a rosszindulatú program-üzemeltetők fontolgatják a rosszindulatú programok Linux-verziójának fejlesztését.
Példaként említhetjük a KillDisk kártevő esetét, amelyet 2015-ben Ukrajnában egy elektromos hálózat megbénítására használtak.
Ez a változat tette lehetetlenné "a Linux gépek indítását, miután titkosították a fájlokat és nagy váltságdíjat követeltek". Volt egy Windows-verziója és egy Linux-verziója, "amit biztosan nem látunk minden nap" - jegyezték meg az ESET kutatói.
Végül, ha többet szeretne megtudni, a Kaspersky publikációjának részleteit a következő linken tekintheti meg.