Penyelidik Kaspersky Lab telah mengenal pasti versi Linux bagi perisian hasad ransomware "RansomEXX" .
Pada mulanya, RansomEXX hanya diedarkan pada platform Windows dan menjadi terkenal kerana beberapa insiden besar yang melibatkan penyingkiran sistem milik pelbagai agensi dan syarikat kerajaan, termasuk Jabatan Pengangkutan Texas dan Konica Minolta.
Mengenai RansomEXX
RansomEXX menyulitkan data pada cakera dan kemudian menuntut wang tebusan untuk mendapatkan kunci penyahsulitan.
Penyulitan dilaksanakan menggunakan pustaka mbedtls sumber terbuka . Sebaik sahaja dilancarkan, perisian hasad menjana kunci 256-bit dan menggunakannya untuk menyulitkan semua fail yang tersedia menggunakan cipher blok AES dalam mod ECB.
Selepas itu, kunci AES baharu dijana setiap saat, bermakna fail berbeza disulitkan dengan kunci AES yang berbeza.
Setiap kunci AES disulitkan menggunakan kunci awam RSA-4096 yang terbenam dalam kod perisian hasad dan dilampirkan pada setiap fail yang disulitkan . Ransomware ini menawarkan untuk menjual kunci persendirian untuk penyahsulitan.
Satu ciri istimewa RansomEXX ialah penggunaannya dalam serangan yang disasarkan, di mana penyerang mendapat akses kepada salah satu sistem pada rangkaian melalui pencerobohan kerentanan atau kaedah kejuruteraan sosial, selepas itu mereka menyerang sistem lain dan menggunakan varian malware yang dipasang khas untuk setiap infrastruktur yang diserang, termasuk nama syarikat dan setiap butiran hubungan yang berbeza.
Pada mulanya, semasa serangan ke atas rangkaian korporat , penyerang cuba mengawal seberapa banyak stesen kerja yang mungkin untuk memasang perisian hasad pada mereka, tetapi strategi ini terbukti salah dan dalam banyak kes sistem hanya dipasang semula menggunakan sandaran tanpa membayar tebusan.
Kini strategi penjenayah siber telah berubah dan objektif mereka adalah untuk mengalahkan sistem pelayan korporat dan terutamanya sistem storan berpusat, termasuk yang menjalankan Linux.
Oleh itu, tidak menghairankan apabila melihat bahawa peniaga RansomEXX menjadikannya trend yang menentukan dalam industri ini; Pengendali ransomware lain juga mungkin menggunakan versi Linux di masa depan.
Kami baru-baru ini menemui Trojan enkripsi fail baru yang dibuat sebagai ELF yang dapat dilaksanakan dan bertujuan untuk menyulitkan data pada mesin yang dikendalikan oleh sistem operasi berasaskan Linux.
Setelah analisis awal, kami melihat persamaan dalam kod Trojan, teks nota tebusan, dan pendekatan umum untuk memeras ugut, menunjukkan bahawa kami sebenarnya telah menjumpai binaan Linux dari keluarga ransomware RansomEXX yang diketahui sebelumnya. Malware ini diketahui menyerang organisasi besar dan paling aktif awal tahun ini.
RansomEXX adalah Trojan yang sangat spesifik. Setiap sampel perisian hasad mengandungi nama yang dikodkan organisasi mangsa. Selanjutnya, kedua-dua peluasan fail yang dienkripsi dan alamat e-mel untuk menghubungi pemeras menggunakan nama mangsa.
Dan pergerakan ini nampaknya sudah bermula. Menurut firma keselamatan siber Emsisoft, selain RansomEXX, pengendali di belakang ransomware Mespinoza (Pysa) juga baru-baru ini mengembangkan varian Linux dari versi awal Windows mereka. Menurut Emsisoft, varian RansomEXX Linux yang mereka temui mula dilaksanakan pada bulan Julai.
Ini bukan kali pertama pengendali perisian hasad mempertimbangkan untuk mengembangkan versi perisian hasad Linux mereka.
Sebagai contoh, kita dapat menyebut kes malware KillDisk, yang telah digunakan untuk melumpuhkan grid kuasa di Ukraine pada tahun 2015.
Varian ini menjadikan "mesin Linux mustahil untuk boot, setelah mengenkripsi fail dan menuntut wang tebusan yang besar." Ia mempunyai versi untuk Windows dan versi untuk Linux, "yang pastinya sesuatu yang tidak kita lihat setiap hari," kata para penyelidik ESET.
Akhir sekali, jika anda ingin mengetahui lebih lanjut, anda boleh merujuk butiran penerbitan Kaspersky di pautan berikut.