Para peneliti Kaspersky Lab telah mengidentifikasi versi Linux dari malware ransomware "RansomEXX" .
Awalnya, RansomEXX hanya didistribusikan pada platform Windows dan menjadi terkenal karena beberapa insiden besar yang melibatkan penonaktifan sistem milik berbagai lembaga pemerintah dan perusahaan, termasuk Departemen Transportasi Texas dan Konica Minolta.
Tentang RansomEXX
RansomEXX mengenkripsi data pada disk dan kemudian menuntut tebusan untuk mendapatkan kunci dekripsi.
Enkripsi diimplementasikan menggunakan pustaka open-source mbedtls . Setelah diluncurkan, malware menghasilkan kunci 256-bit dan menggunakannya untuk mengenkripsi semua file yang tersedia menggunakan algoritma enkripsi blok AES dalam mode ECB.
Setelah itu, kunci AES baru dihasilkan setiap detik, yang berarti file yang berbeda dienkripsi dengan kunci AES yang berbeda.
Setiap kunci AES dienkripsi menggunakan kunci publik RSA-4096 yang tertanam dalam kode malware dan dilampirkan ke setiap file yang dienkripsi . Ransomware tersebut menawarkan untuk menjual kunci pribadi untuk dekripsi.
Salah satu fitur khusus RansomEXX adalah penggunaannya dalam serangan yang ditargetkan, di mana penyerang mendapatkan akses ke salah satu sistem di jaringan melalui eksploitasi kerentanan atau metode rekayasa sosial, setelah itu mereka menyerang sistem lain dan menyebarkan varian malware yang dirancang khusus untuk setiap infrastruktur yang diserang, termasuk nama perusahaan dan setiap detail kontak yang berbeda.
Awalnya, selama serangan terhadap jaringan perusahaan , para penyerang mencoba untuk menguasai sebanyak mungkin workstation untuk menginstal malware di dalamnya, tetapi strategi ini terbukti salah dan dalam banyak kasus sistem tersebut diinstal ulang menggunakan cadangan tanpa membayar uang tebusan.
Kini strategi para penjahat siber telah berubah dan tujuan utama mereka adalah untuk mengalahkan sistem server perusahaan dan khususnya sistem penyimpanan terpusat, termasuk yang menjalankan Linux.
Jadi tidak mengherankan melihat bahwa pedagang RansomEXX telah menjadikannya tren yang menentukan dalam industri; Operator ransomware lain juga dapat menggunakan versi Linux di masa mendatang.
Kami baru-baru ini menemukan enkripsi file baru yang dibuat Trojan sebagai ELF yang dapat dieksekusi dan dimaksudkan untuk mengenkripsi data pada mesin yang dikendalikan oleh sistem operasi berbasis Linux.
Setelah analisis awal, kami menemukan kesamaan dalam kode Trojan, teks catatan tebusan, dan pendekatan umum untuk pemerasan, yang menunjukkan bahwa kami memang menemukan versi Linux dari ransomware RansomEXX yang sebelumnya dikenal. Malware ini diketahui menyerang organisasi besar dan paling aktif awal tahun ini.
RansomEXX adalah Trojan yang sangat spesifik. Setiap sampel malware berisi nama yang dikodekan dari organisasi korban. Selanjutnya, baik ekstensi dari file yang dienkripsi dan alamat email untuk menghubungi pemeras menggunakan nama korban.
Dan gerakan ini sepertinya sudah dimulai. Menurut firma keamanan siber Emsisoft, selain RansomEXX, operator di balik ransomware Mespinoza (Pysa) juga baru-baru ini mengembangkan varian Linux dari versi awal Windows mereka. Menurut Emsisoft, varian RansomEXX Linux yang mereka temukan pertama kali diimplementasikan pada bulan Juli.
Ini bukan pertama kalinya operator malware mempertimbangkan untuk mengembangkan versi Linux dari malware mereka.
Misalnya, kami dapat mengutip kasus malware KillDisk, yang telah digunakan untuk melumpuhkan jaringan listrik di Ukraina pada tahun 2015.
Varian ini membuat "mesin Linux tidak mungkin untuk boot, setelah mengenkripsi file dan menuntut uang tebusan yang besar." Itu memiliki versi Windows dan versi Linux, "yang pasti sesuatu yang tidak kita lihat setiap hari," catat para peneliti ESET.
Terakhir, jika Anda ingin mempelajari lebih lanjut, Anda dapat melihat detail publikasi Kaspersky di tautan berikut.