חוקרי מעבדת קספרסקי זיהו גרסת לינוקס של תוכנת הכופר הזדונית "RansomEXX" .
בתחילה, RansomEXX הופץ רק על פלטפורמת Windows והתפרסם בזכות מספר תקריות גדולות שכללו פירוק מערכות השייכות לסוכנויות וחברות ממשלתיות שונות, כולל משרד התחבורה של טקסס וקוניקה מינולטה.
אודות RansomEXX
RansomEXX מצפין את הנתונים בדיסק ולאחר מכן דורש כופר כדי לקבל את מפתח הפענוח.
ההצפנה מיושמת באמצעות ספריית mbedtls בקוד פתוח . לאחר ההשקה, הנוזקה מייצרת מפתח של 256 סיביות ומשתמשת בו כדי להצפין את כל הקבצים הזמינים באמצעות צופן בלוקים של AES במצב ECB.
לאחר מכן, נוצר מפתח AES חדש בכל שנייה, כלומר קבצים שונים מוצפנים עם מפתחות AES שונים.
כל מפתח AES מוצפן באמצעות מפתח ציבורי RSA-4096 המוטמע בקוד הזדוני ומצורף לכל קובץ מוצפן . תוכנת הכופר מציעה למכור מפתח פרטי לפענוח.
מאפיין מיוחד של RansomEXX הוא השימוש בו במתקפות ממוקדות, שבמהלכן תוקפים מקבלים גישה לאחת המערכות ברשת באמצעות חשיפת פגיעויות או שיטות הנדסה חברתית, ולאחר מכן הם תוקפים מערכות אחרות ופורסים גרסה מיוחדת של תוכנה זדונית עבור כל תשתית מותקפת, הכוללת את שם החברה וכל אחד מפרטי הקשר השונים.
בתחילה, במהלך המתקפה על רשתות ארגוניות , ניסו התוקפים להשתלט על כמה שיותר תחנות עבודה כדי להתקין עליהן תוכנות זדוניות, אך אסטרטגיה זו הוכחה כלא נכונה ובמקרים רבים המערכות פשוט הותקנו מחדש באמצעות גיבוי מבלי לשלם את הכופר.
כעת האסטרטגיה של פושעי הסייבר השתנתה ומטרתם היא בעיקר להביס מערכות שרתים ארגוניות ובמיוחד מערכות אחסון מרכזיות, כולל אלו המריצות לינוקס.
לכן, זה לא יהיה מפתיע לראות כי סוחרי RansomEXX הפכו אותה למגמה מגדירה בענף; מפעילי כופר אחרים עשויים לפרוס בעתיד גם גרסאות של לינוקס.
לאחרונה גילינו טרויאני הצפנת קבצים חדש שנוצר כהפעלה ELF ונועד להצפין נתונים על מכונות הנשלטות על ידי מערכות הפעלה מבוססות לינוקס.
לאחר ניתוח ראשוני, הבחנו בדמיון בקוד של הטרויאני, בטקסט של הערות הכופר, ובגישה הכללית לסחיטה, מה שמרמז כי מצאנו למעשה מבנה לינוקס של משפחת הכופר RansomEXX הידועה בעבר. תוכנה זדונית זו ידועה כמתקיפה על ארגונים גדולים והייתה פעילה ביותר בתחילת השנה.
RansomEXX הוא טרויאני ספציפי מאוד. כל דגימה של תוכנות זדוניות מכילה שם מקודד של ארגון הקורבן. בנוסף, גם ההרחבה של הקובץ המוצפן וגם כתובת הדוא"ל ליצירת קשר עם הסחטנים משתמשים בשם הקורבן.
ונראה שהתנועה הזו כבר החלה. על פי חברת הסייבר Emsisoft, בנוסף ל- RansomEXX, המפעילים שעומדים מאחורי תוכנת הכופר Mespinoza (Pysa) פיתחו לאחרונה גם גרסת לינוקס מגרסתם הראשונית של Windows. לדברי Emsisoft, גרסאות ה- RansomEXX לינוקס שגילו יושמו לראשונה ביולי.
זו לא הפעם הראשונה שמפעילי תוכנה זדונית שוקלים לפתח גרסת לינוקס של התוכנה הזדונית שלהם.
לדוגמא, אנו יכולים לצטט את המקרה של התוכנה הזדונית KillDisk, ששימשה לשיתוק רשת חשמל באוקראינה בשנת 2015.
גרסה זו הפכה את "מכונות לינוקס לבלתי אפשריות לאתחול לאחר שהצפינו את הקבצים ודרשו כופר גדול." היו לה גרסאות חלונות וגרסת לינוקס, "שזה בהחלט משהו שאנחנו לא רואים כל יום", ציינו חוקרי ESET.
לבסוף, אם ברצונכם ללמוד עוד, תוכלו לעיין בפרטי הפרסום של קספרסקי בקישור הבא.