Aptikta „Linux“ skirtos „RansomEXX“ versija

Tyrėjai iš "Kaspersky Lab" nustatė a „Linux“ versija dkenkėjiškų programų išpirkos „RansomEXX“.

Iš pradžių „RansomEXX“ buvo platinamas tik „Windows“ platformoje ir išgarsėjo dėl kelių didelių incidentų su įvairių vyriausybinių agentūrų ir bendrovių, įskaitant Teksaso transporto departamentą ir „Konica Minolta“, sistemų nugalėjimu.

Apie „RansomEXX“

„RansomEXX“ užšifruoja duomenis diske ir reikalauja išpirkos gauti iššifravimo raktą. 

Šifravimas organizuojamas naudojant biblioteką mbedtls de Atviro kodo. Paleistas, kenkėjiška programa sukuria 256 bitų raktą ir naudoja ją šifruoti visus turimus failus naudodamas AES blokinį šifravimą ECB režimu. 

Po to kas sekundę generuojamas naujas AES raktas, tai yra skirtingi failai yra užšifruoti skirtingais AES raktais.

Kiekvienas AES raktas yra užšifruotas naudojant viešąjį RSA-4096 raktą įterptas į kenkėjiškų programų kodą ir pridedamas prie kiekvieno užšifruoto failo. Iššifravimui išpirkos programa siūlo iš jų įsigyti privatų raktą.

Ypatinga „RansomEXX“ funkcija Tai jūsų panaudojimas tikslinėms atakoms, kurio metu užpuolikai, naudodamiesi pažeidžiamumu ar socialinės inžinerijos metodais, gauna prieigą prie vienos iš tinklo sistemų, o po to puola kitas sistemas ir kiekvienai užpuolamai infrastruktūrai įdiegia specialiai sukomplektuotą kenkėjiškų programų variantą, įskaitant įmonės pavadinimą ir kiekvieną iš jų. skirtingi kontaktiniai duomenys.

Iš pradžių per ataką korporatyviniuose tinkluose, užpuolikai jie bandė perimti kontrolę iš kuo daugiau darbo vietų įdiegti jose kenkėjiškas programas, tačiau ši strategija pasirodė neteisinga ir daugeliu atvejų sistemos buvo tiesiog iš naujo įdiegtos naudojant atsarginę kopiją nemokant išpirkos. 

Dabar kibernetinių nusikaltėlių strategija pasikeitė y jų tikslas buvo visų pirma nugalėti įmonių serverių sistemas ir ypač centralizuotose saugojimo sistemose, įskaitant tas, kuriose veikia „Linux“.

Todėl nenuostabu, kad „RansomEXX“ prekybininkai padarė tai apibrėžiančia tendencija pramonėje; Kiti išpirkos programinės įrangos operatoriai ateityje taip pat gali įdiegti „Linux“ versijas.

Neseniai atradome naują failų šifravimo trojaną, sukurtą kaip ELF vykdomąjį failą ir skirtą šifruoti duomenis mašinose, valdomose „Linux“ operacinėmis sistemomis.

Atlikę pirminę analizę, pastebėjome „Trojan“ kodo, išpirkos užrašų teksto ir bendro požiūrio į turto prievartavimą panašumų, o tai rodo, kad mes tikrai radome anksčiau žinomos „RansomEXX“ išpirkos programos šeimos versiją. Žinoma, kad ši kenkėjiška programa puola dideles organizacijas ir buvo aktyviausia šių metų pradžioje.

„RansomEXX“ yra labai specifinis Trojos arklys. Kiekviename kenkėjiškų programų pavyzdyje yra sunkiai užkoduotas aukų organizacijos pavadinimas. Be to, tiek užšifruoto failo plėtinys, tiek el. Pašto adresas, norint susisiekti su prievartautojais, naudoja aukos vardą.

Atrodo, kad šis judėjimas jau prasidėjo. Pasak kibernetinio saugumo firmos „Emsisoft“, be „RansomEXX“, „Mespinoza“ (Pysa) išpirkos programinės įrangos operatoriai neseniai sukūrė savo „Linux“ variantą iš savo pradinės „Windows“ versijos. Pasak „Emsisoft“, jų atrasti „RansomEXX Linux“ variantai pirmą kartą buvo įgyvendinti liepos mėnesį.

Tai nėra pirmas kartas, kai kenkėjiškų programų operatoriai svarsto galimybę sukurti „Linux“ kenkėjiškų programų versiją.

Pavyzdžiui, galime paminėti kenkėjiškos programos „KillDisk“ atvejį, kuris buvo naudojamas paralyžiuojant elektros tinklą Ukrainoje 2015 m.

Šis variantas padarė „Linux mašinų neįmanoma paleisti, užšifravus failus ir pareikalavus didelės išpirkos“. Ji turėjo „Windows“ ir „Linux“ versiją, „kurios tikrai nematome kasdien“, - teigė ESET tyrėjai.

Galiausiai, jei norite apie tai sužinoti daugiau, galite patikrinti „Kaspersky“ leidinio išsamią informaciją Šioje nuorodoje.