Kaspersky Lab pētnieki ir identificējuši izspiedējvīrusa "RansomEXX" Linux versiju .
Sākotnēji RansomEXX tika izplatīts tikai Windows platformā un kļuva slavens vairāku nopietnu incidentu dēļ, kas saistīti ar dažādu valdības aģentūru un uzņēmumu, tostarp Teksasas Transporta departamenta un Konica Minolta, sistēmu darbības apturēšanu.
Par RansomEXX
RansomEXX šifrē datus diskā un pēc tam pieprasa izpirkuma maksu , lai iegūtu atšifrēšanas atslēgu.
Šifrēšana tiek ieviesta, izmantojot atvērtā pirmkoda mbedtls bibliotēku . Pēc palaišanas ļaunprogrammatūra ģenerē 256 bitu atslēgu un izmanto to, lai šifrētu visus pieejamos failus, izmantojot AES bloka šifru ECB režīmā.
Pēc tam katru sekundi tiek ģenerēta jauna AES atslēga, kas nozīmē, ka dažādi faili tiek šifrēti ar dažādām AES atslēgām.
Katra AES atslēga tiek šifrēta, izmantojot RSA-4096 publisko atslēgu, kas ir iegulta ļaunprogrammatūras kodā un pievienota katram šifrētajam failam . Izspiedējvīruss piedāvā pārdot privāto atslēgu atšifrēšanai.
RansomEXX īpaša iezīme ir tā izmantošana mērķtiecīgos uzbrukumos, kuru laikā uzbrucēji iegūst piekļuvi vienai no tīkla sistēmām, izmantojot ievainojamības vai sociālās inženierijas metodes, pēc tam viņi uzbrūk citām sistēmām un katrai uzbruktajai infrastruktūrai izvieto speciāli apkopotu ļaunprogrammatūras variantu, tostarp uzņēmuma nosaukumu un katras kontaktinformācijas datus.
Sākotnēji, uzbrukuma laikā korporatīvajiem tīkliem , uzbrucēji centās iegūt kontroli pār pēc iespējas vairāk darbstacijām, lai tajās instalētu ļaunprogrammatūru, taču šī stratēģija izrādījās nepareiza, un daudzos gadījumos sistēmas tika vienkārši atkārtoti instalētas, izmantojot dublējumu, nemaksājot izpirkuma maksu.
Tagad kibernoziedznieku stratēģija ir mainījusies , un viņu mērķis galvenokārt ir sakaut korporatīvās serveru sistēmas un jo īpaši centralizētās krātuves sistēmas, tostarp tās, kurās darbojas Linux.
Tāpēc nebūtu pārsteidzoši redzēt, ka RansomEXX tirgotāji ir padarījuši to par noteicošo tendenci nozarē; Citi ransomware operatori nākotnē var izvietot arī Linux versijas.
Nesen mēs atklājām jaunu failu šifrēšanas Trojas zirgu, kas izveidots kā ELF izpildāms un paredzēts datu šifrēšanai mašīnās, kuras kontrolē Linux operētājsistēmas.
Pēc sākotnējās analīzes mēs pamanījām Trojas zirgu koda, izpirkuma zīmju teksta un vispārējās pieejas izspiešanai līdzības, kas liek domāt, ka mēs faktiski esam atraduši iepriekš zināmās RansomEXX ransomware saimes Linux būvējumu. Ir zināms, ka šī ļaunprātīgā programmatūra uzbrūk lielām organizācijām un bija visaktīvākā šī gada sākumā.
RansomEXX ir ļoti specifisks Trojas zirgs. Katrā ļaunprātīgas programmatūras paraugā ir iekodēts upura organizācijas nosaukums. Turklāt gan šifrētā faila paplašinājums, gan e-pasta adrese, lai sazinātos ar izspiedējiem, izmanto upura vārdu.
Un šī kustība, šķiet, jau ir sākusies. Pēc kiberdrošības firmas Emsisoft ziņām, papildus RansomEXX, arī Mespinoza (Pysa) izpirkuma programmatūras operatori nesen ir izstrādājuši Linux variantu, sākot no sākotnējās Windows versijas. Kā ziņo Emsisoft, viņu atklātie RansomEXX Linux varianti pirmo reizi tika ieviesti jūlijā.
Šī nav pirmā reize, kad ļaunprātīgas programmatūras operatori apsver iespēju izstrādāt savas ļaunprogrammatūras Linux versiju.
Piemēram, mēs varam minēt ļaunprogrammatūras KillDisk gadījumu, kas tika izmantots, lai paralizētu elektrotīklu Ukrainā 2015. gadā.
Šis variants padarīja "Linux mašīnu neiespējamu sāknēšanu, pēc failu šifrēšanas un pieprasot lielu izpirkuma maksu". Tam bija Windows versija un Linux versija, "kas noteikti ir kaut kas, ko mēs ikdienā neredzam", atzīmēja ESET pētnieki.
Visbeidzot, ja vēlaties uzzināt vairāk, varat iepazīties ar Kaspersky publikācijas informāciju, izmantojot šo saiti.