„Kaspersky Lab“ tyrėjai nustatė „Linux“ versiją išpirkos reikalaujančios kenkėjiškos programos „RansomEXX“ .
Iš pradžių „RansomEXX“ buvo platinama tik „Windows“ platformoje ir išgarsėjo dėl kelių didelių incidentų, susijusių su įvairių vyriausybinių agentūrų ir įmonių, įskaitant Teksaso transporto departamentą ir „Konica Minolta“, sistemų pašalinimu.
Apie „RansomEXX“
„RansomEXX“ užšifruoja diske esančius duomenis ir pareikalauja išpirkos , kad gautų iššifravimo raktą.
Šifravimas įgyvendinamas naudojant atvirojo kodo „mbedtls“ biblioteką . Paleidus kenkėjišką programą , ji sugeneruoja 256 bitų raktą ir jį naudoja visiems prieinamiems failams užšifruoti naudodama AES blokų šifrą ECB režimu.
Po to kas sekundę generuojamas naujas AES raktas, o tai reiškia, kad skirtingi failai šifruojami skirtingais AES raktais.
Kiekvienas AES raktas yra užšifruojamas naudojant RSA-4096 viešąjį raktą, įterptą į kenkėjiškos programos kodą ir pridėtą prie kiekvieno užšifruoto failo . Išpirkos reikalaujanti programa siūlo parduoti privatų raktą iššifravimui.
Ypatinga „RansomEXX“ savybė yra jos naudojimas tikslinėse atakose, kurių metu užpuolikai gauna prieigą prie vienos iš tinklo sistemų, pasinaudodami pažeidžiamumais arba socialinės inžinerijos metodais, o po to atakuoja kitas sistemas ir kiekvienai užpultai infrastruktūrai diegia specialiai surinktą kenkėjiškos programos variantą, įskaitant įmonės pavadinimą ir kiekvieną iš skirtingų kontaktinių duomenų.
Iš pradžių, atakuodami įmonių tinklus , užpuolikai bandė kontroliuoti kuo daugiau darbo stočių, kad jose įdiegtų kenkėjiškas programas, tačiau ši strategija pasirodė esanti neteisinga ir daugeliu atvejų sistemos buvo tiesiog įdiegtos iš naujo naudojant atsarginę kopiją, nemokant išpirkos.
Dabar kibernetinių nusikaltėlių strategija pasikeitė ir jų tikslas pirmiausia yra nugalėti įmonių serverių sistemas ir ypač centralizuotas saugojimo sistemas, įskaitant tas, kuriose veikia „Linux“.
Todėl nenuostabu, kad „RansomEXX“ prekybininkai padarė tai apibrėžiančia tendencija pramonėje; Kiti išpirkos programinės įrangos operatoriai ateityje taip pat gali įdiegti „Linux“ versijas.
Neseniai atradome naują failų šifravimo trojaną, sukurtą kaip ELF vykdomąjį failą ir skirtą šifruoti duomenis mašinose, valdomose „Linux“ operacinėmis sistemomis.
Atlikę pirminę analizę, pastebėjome „Trojan“ kodo, išpirkos užrašų teksto ir bendro požiūrio į turto prievartavimą panašumų, o tai rodo, kad mes tikrai radome anksčiau žinomos „RansomEXX“ išpirkos programos šeimos versiją. Žinoma, kad ši kenkėjiška programa puola dideles organizacijas ir buvo aktyviausia šių metų pradžioje.
„RansomEXX“ yra labai specifinis Trojos arklys. Kiekviename kenkėjiškų programų pavyzdyje yra sunkiai užkoduotas aukų organizacijos pavadinimas. Be to, tiek užšifruoto failo plėtinys, tiek el. Pašto adresas, norint susisiekti su prievartautojais, naudoja aukos vardą.
Atrodo, kad šis judėjimas jau prasidėjo. Pasak kibernetinio saugumo firmos „Emsisoft“, be „RansomEXX“, „Mespinoza“ (Pysa) išpirkos programinės įrangos operatoriai neseniai sukūrė savo „Linux“ variantą iš savo pradinės „Windows“ versijos. Pasak „Emsisoft“, jų atrasti „RansomEXX Linux“ variantai pirmą kartą buvo įgyvendinti liepos mėnesį.
Tai nėra pirmas kartas, kai kenkėjiškų programų operatoriai svarsto galimybę sukurti „Linux“ kenkėjiškų programų versiją.
Pavyzdžiui, galime paminėti kenkėjiškos programos „KillDisk“ atvejį, kuris buvo naudojamas paralyžiuojant elektros tinklą Ukrainoje 2015 m.
Šis variantas padarė „Linux mašinų neįmanoma paleisti, užšifravus failus ir pareikalavus didelės išpirkos“. Ji turėjo „Windows“ ir „Linux“ versiją, „kurios tikrai nematome kasdien“, - teigė ESET tyrėjai.
Galiausiai, jei norite sužinoti daugiau, galite peržiūrėti „Kaspersky“ leidinio informaciją šioje nuorodoje.