カスペルスキーラボの研究者らは、 「RansomEXX」ランサムウェアマルウェアのLinux版を特定した。
当初、RansomEXXはWindowsプラットフォームのみで配布されていましたが、テキサス州運輸局やコニカミノルタなど、さまざまな政府機関や企業のシステムをダウンさせるという重大な事件が複数発生したことで有名になりました。
RansomEXXについて
RansomEXXはディスク上のデータを暗号化し、復号鍵を入手するために身代金を要求します。
暗号化はオープンソースのmbedtlsライブラリを使用して実装されています。マルウェアが起動すると、256ビットの鍵を生成し、それを使用して利用可能なすべてのファイルをAESブロック暗号（ECBモード）で暗号化します。
その後、1秒ごとに新しいAESキーが生成されるため、異なるファイルはそれぞれ異なるAESキーで暗号化されることになる。
各AESキーは、マルウェアコードに組み込まれ、暗号化された各ファイルに添付されたRSA-4096公開鍵を使用して暗号化されます。ランサムウェアは、復号化のための秘密鍵を販売すると持ちかけます。
RansomEXXの特長の一つは、標的型攻撃に用いられる点です。攻撃者は、脆弱性の悪用やソーシャルエンジニアリングの手法を用いてネットワーク上のシステムの一つに侵入した後、他のシステムを攻撃し、攻撃対象のインフラごとに、企業名や各連絡先情報などを含む、特別に作成されたマルウェアを展開します。
当初、企業ネットワークへの攻撃において、攻撃者はできるだけ多くのワークステーションを乗っ取ってマルウェアをインストールしようと試みたが、この戦略は誤りであることが判明し、多くの場合、身代金を支払うことなくバックアップを使用してシステムが再インストールされた。
現在、サイバー犯罪者の戦略は変化しており、彼らの主な目的は企業のサーバーシステム、特にLinux上で動作するシステムを含む集中型ストレージシステムを攻撃することである。
したがって、RansomEXXのトレーダーがRansomEXXを業界の決定的なトレンドにしたことは驚くことではありません。 他のランサムウェアオペレーターも、将来的にLinuxのバージョンを展開する可能性があります。
最近、ELF実行可能として作成され、Linuxベースのオペレーティングシステムによって制御されるマシン上のデータを暗号化することを目的とした新しいファイル暗号化トロイの木馬を発見しました。
最初の分析の後、トロイの木馬のコード、身代金メモのテキスト、および強奪への一般的なアプローチに類似点があることに気付きました。これは、以前から知られているRansomEXXファミリーの身代金ウェアのLinuxビルドを実際に見つけたことを示唆しています。 このマルウェアは大規模な組織を攻撃することが知られており、今年初めに最も活発になりました。
RansomEXXは非常に特殊なトロイの木馬です。 各マルウェアサンプルには、被害者の組織のハードコードされた名前が含まれています。 さらに、暗号化されたファイルの拡張子と、強奪者に連絡するための電子メールアドレスの両方が被害者の名前を使用します。
そして、この動きはすでに始まっているようです。 サイバーセキュリティ会社のEmsisoftによると、RansomEXXに加えて、Mespinoza（Pysa）ランサムウェアの背後にいるオペレーターも、最近、初期バージョンのWindowsから始まるLinuxバリアントを開発しました。 Emsisoftによると、彼らが発見したRansomEXX Linuxバリアントは、XNUMX月に最初に実装されました。
マルウェアオペレーターがLinuxバージョンのマルウェアの開発を検討したのはこれが初めてではありません。
たとえば、2015年にウクライナの送電網を麻痺させるために使用されたKillDiskマルウェアの事例を引用することができます。
この変種は、「ファイルを暗号化し、大きな身代金を要求した後、Linuxマシンを起動できなくなった」。 ESETの研究者は、Windows用のバージョンとLinux用のバージョンがあり、「これは間違いなく私たちが毎日目にすることのないものです」と述べています。
最後に、さらに詳しく知りたい場合は、以下のリンクからカスペルスキーの資料の詳細をご覧ください。