I ricercatori di Kaspersky Lab hanno identificato una versione per Linux del malware ransomware "RansomEXX" .
Inizialmente, RansomEXX veniva distribuito solo sulla piattaforma Windows ed è diventato famoso a causa di diversi incidenti di rilievo che hanno portato al blocco di sistemi appartenenti a varie agenzie governative e aziende, tra cui il Dipartimento dei Trasporti del Texas e Konica Minolta.
Informazioni su RansomEXX
RansomEXX crittografa i dati sul disco e poi richiede un riscatto per ottenere la chiave di decrittazione.
La crittografia viene implementata utilizzando la libreria open-source mbedtls . Una volta avviato, il malware genera una chiave a 256 bit e la utilizza per crittografare tutti i file disponibili tramite l'algoritmo di cifratura a blocchi AES in modalità ECB.
Dopodiché, viene generata una nuova chiave AES ogni secondo, il che significa che file diversi vengono crittografati con chiavi AES diverse.
Ogni chiave AES viene crittografata utilizzando una chiave pubblica RSA-4096 incorporata nel codice del malware e allegata a ciascun file crittografato . Il ransomware offre un riscatto per la decrittazione, offrendo in cambio la chiave privata.
Una caratteristica peculiare di RansomEXX è il suo utilizzo in attacchi mirati, durante i quali gli aggressori ottengono l'accesso a uno dei sistemi della rete sfruttando vulnerabilità o tecniche di ingegneria sociale, per poi attaccare altri sistemi e distribuire una variante di malware appositamente creata per ciascuna infrastruttura attaccata, includendo il nome dell'azienda e i diversi recapiti.
Inizialmente, durante l'attacco alle reti aziendali , gli aggressori hanno cercato di ottenere il controllo del maggior numero possibile di workstation per installarvi malware, ma questa strategia si è rivelata errata e in molti casi i sistemi sono stati semplicemente ripristinati utilizzando un backup senza pagare il riscatto.
Oggi la strategia dei criminali informatici è cambiata e il loro obiettivo principale è quello di compromettere i sistemi server aziendali , in particolare i sistemi di archiviazione centralizzati, compresi quelli basati su Linux.
Quindi non sarebbe sorprendente vedere che i trader di RansomEXX ne hanno fatto una tendenza determinante nel settore; Anche altri operatori di ransomware potrebbero distribuire versioni di Linux in futuro.
Di recente abbiamo scoperto un nuovo Trojan per la crittografia dei file creato come eseguibile ELF e destinato a crittografare i dati su macchine controllate da sistemi operativi basati su Linux.
Dopo un'analisi iniziale, abbiamo notato somiglianze nel codice del Trojan, nel testo delle note di riscatto e nell'approccio generale all'estorsione, suggerendo che in realtà avevamo trovato una build Linux della famiglia di ransomware RansomEXX precedentemente nota. Questo malware è noto per attaccare grandi organizzazioni ed è stato più attivo all'inizio di quest'anno.
RansomEXX è un Trojan molto specifico. Ogni campione del malware contiene un nome codificato dell'organizzazione vittima. Inoltre, sia l'estensione del file crittografato che l'indirizzo email per contattare gli estorsori utilizzano il nome della vittima.
E questo movimento sembra essere già iniziato. Secondo la società di sicurezza informatica Emsisoft, oltre a RansomEXX, gli operatori dietro il ransomware Mespinoza (Pysa) hanno recentemente sviluppato una variante Linux dalla loro versione iniziale di Windows. Secondo Emsisoft, le varianti Linux RansomEXX che hanno scoperto sono state implementate per la prima volta a luglio.
Non è la prima volta che gli operatori di malware considerano lo sviluppo di una versione Linux del loro malware.
Ad esempio, possiamo citare il caso del malware KillDisk, che era stato utilizzato per paralizzare una rete elettrica in Ucraina nel 2015.
Questa variante rendeva "impossibile avviare le macchine Linux, dopo aver crittografato i file e richiesto un grosso riscatto". Aveva una versione per Windows e una versione per Linux, "che è sicuramente qualcosa che non vediamo tutti i giorni", hanno osservato i ricercatori di ESET.
Infine, se desiderate approfondire l'argomento, potete consultare i dettagli della pubblicazione di Kaspersky al seguente link.