Badacze z Kaspersky Lab zidentyfikowali wersję ransomware „RansomEXX” dla systemu Linux .
Początkowo RansomEXX rozpowszechniany był wyłącznie na platformie Windows i zyskał rozgłos za sprawą kilku poważnych incydentów, w trakcie których wyłączano systemy należące do różnych agencji rządowych i firm, w tym Departamentu Transportu Teksasu i Konica Minolta.
O RansomEXX
RansomEXX szyfruje dane na dysku, a następnie żąda okupu za uzyskanie klucza deszyfrującego.
Szyfrowanie jest realizowane za pomocą biblioteki mbedtls o otwartym kodzie źródłowym . Po uruchomieniu złośliwe oprogramowanie generuje 256-bitowy klucz i używa go do szyfrowania wszystkich dostępnych plików za pomocą szyfru blokowego AES w trybie ECB.
Następnie co sekundę generowany jest nowy klucz AES, co oznacza, że różne pliki są szyfrowane przy użyciu różnych kluczy AES.
Każdy klucz AES jest szyfrowany za pomocą klucza publicznego RSA-4096 osadzonego w kodzie złośliwego oprogramowania i dołączonego do każdego zaszyfrowanego pliku . Ransomware oferuje sprzedaż klucza prywatnego w celu odszyfrowania.
Szczególną cechą RansomEXX jest jego wykorzystanie w atakach ukierunkowanych, podczas których atakujący uzyskują dostęp do jednego z systemów w sieci poprzez wykorzystanie luk w zabezpieczeniach lub metod socjotechnicznych, po czym atakują inne systemy i wdrażają specjalnie przygotowaną wersję złośliwego oprogramowania dla każdej atakowanej infrastruktury, zawierającą nazwę firmy i wszystkie dane kontaktowe.
Początkowo podczas ataku na sieci korporacyjne atakujący próbowali przejąć kontrolę nad jak największą liczbą stacji roboczych, aby zainstalować na nich złośliwe oprogramowanie. Jednak strategia ta okazała się nieprawidłowa i w wielu przypadkach systemy po prostu instalowano ponownie, korzystając z kopii zapasowej, bez płacenia okupu.
Obecnie strategia cyberprzestępców uległa zmianie. Ich głównym celem jest atakowanie korporacyjnych systemów serwerowych , a w szczególności scentralizowanych systemów pamięci masowej, w tym tych działających na systemie Linux.
Dlatego nie byłoby zaskoczeniem, gdyby handlowcy RansomEXX uczynili z tego kluczowy trend w branży; Inni operatorzy ransomware również mogą w przyszłości wdrażać wersje Linuksa.
Niedawno odkryliśmy nowego trojana szyfrującego pliki, stworzonego jako plik wykonywalny ELF i przeznaczonego do szyfrowania danych na maszynach kontrolowanych przez systemy operacyjne oparte na Linuksie.
Po wstępnej analizie zauważyliśmy podobieństwa w kodzie trojana, tekście notatek dotyczących okupu i ogólnym podejściu do wymuszenia, co sugeruje, że rzeczywiście znaleźliśmy wersję Linuksa znanej wcześniej rodziny oprogramowania ransomware RansomEXX. To złośliwe oprogramowanie jest znane z atakowania dużych organizacji i było najbardziej aktywne na początku tego roku.
RansomEXX to bardzo specyficzny trojan. Każda próbka złośliwego oprogramowania zawiera zakodowaną na stałe nazwę organizacji ofiary. Ponadto zarówno rozszerzenie zaszyfrowanego pliku, jak i adres e-mail do kontaktu z szantażystami zawierają imię i nazwisko ofiary.
Wydaje się, że ten ruch już się rozpoczął. Według firmy Emsisoft zajmującej się cyberbezpieczeństwem, oprócz RansomEXX, operatorzy ransomware Mespinoza (Pysa) niedawno opracowali również wariant Linuksa, począwszy od ich pierwotnej wersji systemu Windows. Według Emsisoft odkryte warianty RansomEXX Linux zostały po raz pierwszy wdrożone w lipcu.
To nie pierwszy raz, kiedy operatorzy złośliwego oprogramowania rozważają opracowanie wersji swojego szkodliwego oprogramowania dla systemu Linux.
Na przykład możemy przytoczyć przypadek złośliwego oprogramowania KillDisk, które zostało użyte do sparaliżowania sieci energetycznej na Ukrainie w 2015 roku.
Ten wariant uniemożliwiał uruchomienie komputerów z systemem Linux po zaszyfrowaniu plików i zażądaniu dużego okupu. Miał wersję dla systemu Windows i wersję dla systemu Linux, „czego zdecydowanie nie widzimy na co dzień” - zauważyli badacze ESET.
Jeśli chcesz dowiedzieć się więcej, możesz zapoznać się ze szczegółami publikacji firmy Kaspersky pod poniższym linkiem.