Kaspersky Lab- forskere har identifisert en Linux-versjon av ransomware-skadevaren «RansomEXX» .
Opprinnelig ble RansomEXX kun distribuert på Windows-plattformen og ble berømt på grunn av flere store hendelser som involverte fjerning av systemer som tilhørte forskjellige offentlige etater og selskaper, inkludert Texas Department of Transportation og Konica Minolta.
Om RansomEXX
RansomEXX krypterer dataene på disken og krever deretter løsepenger for å få tak i dekrypteringsnøkkelen.
Krypteringen implementeres ved hjelp av mbedtls-biblioteket med åpen kildekode . Når den er lansert, genererer skadevaren en 256-biters nøkkel og bruker den til å kryptere alle tilgjengelige filer ved hjelp av AES-blokkkryptering i ECB-modus.
Etter det genereres en ny AES-nøkkel hvert sekund, som betyr at forskjellige filer krypteres med forskjellige AES-nøkler.
Hver AES-nøkkel krypteres med en offentlig RSA-4096-nøkkel som er innebygd i skadevarekoden og festet til hver krypterte fil . Løsepengeviruset tilbyr å selge en privat nøkkel for dekryptering.
En spesiell egenskap ved RansomEXX er bruken i målrettede angrep, der angripere får tilgang til et av systemene på nettverket gjennom å kompromittere sårbarheter eller bruke sosial manipulering, hvoretter de angriper andre systemer og distribuerer en spesialbygd variant av skadelig programvare for hver angrepet infrastruktur, inkludert firmanavnet og hver av de forskjellige kontaktdetaljene.
I starten, under angrepet på bedriftsnettverk , prøvde angriperne å få kontroll over så mange arbeidsstasjoner som mulig for å installere skadelig programvare på dem, men denne strategien viste seg å være feil, og i mange tilfeller ble systemene ganske enkelt installert på nytt med en sikkerhetskopi uten å betale løsepenger.
Nå har strategien til nettkriminelle endret seg , og målet deres er først og fremst å beseire bedriftsserversystemer og spesielt sentraliserte lagringssystemer, inkludert de som kjører Linux.
Derfor ville det ikke være overraskende å se at RansomEXX-handelsmenn har gjort det til en avgjørende trend i bransjen; Andre ransomware-operatører kan også distribuere versjoner av Linux i fremtiden.
Vi oppdaget nylig en ny filkryptering Trojan opprettet som en ELF-kjørbar og ment å kryptere data på maskiner som styres av Linux-baserte operativsystemer.
Etter den første analysen la vi merke til likheter i Trojans kode, teksten i løsepenger og den generelle tilnærmingen til utpressing, noe som tyder på at vi virkelig hadde funnet en Linux-build av den tidligere kjente RansomEXX-familien av ransomware. Denne malware er kjent for å angripe store organisasjoner og var mest aktiv tidligere i år.
RansomEXX er en veldig spesifikk trojan. Hver prøve av skadelig programvare inneholder et kodet navn på offerorganisasjonen. I tillegg bruker både utvidelsen av den krypterte filen og e-postadressen for å kontakte utpressere navnet på offeret.
Og denne bevegelsen ser ut til å allerede ha startet. I følge cybersikkerhetsfirmaet Emsisoft, i tillegg til RansomEXX, har også operatørene bak Mespinoza (Pysa) ransomware nylig utviklet en Linux-variant fra den første versjonen av Windows. I følge Emsisoft ble RansomEXX Linux-variantene de oppdaget først implementert i juli.
Dette er ikke første gang malwareoperatører vurderer å utvikle en Linux-versjon av skadelig programvare.
For eksempel kan vi sitere saken om KillDisk-skadelig programvare, som hadde blitt brukt til å lamme et strømnett i Ukraina i 2015.
Denne varianten gjorde "Linux-maskiner umulige å starte, etter å ha kryptert filene og krevd et stort løsepenger." Den hadde en versjon for Windows og en versjon for Linux, "som definitivt er noe vi ikke ser hver dag," bemerket ESET-forskerne.
Til slutt, hvis du vil vite mer, kan du se detaljene i Kasperskys publikasjon på følgende lenke.