Pesquisadores da Kaspersky Lab identificaram uma versão para Linux do malware ransomware "RansomEXX" .
Inicialmente, o RansomEXX era distribuído apenas na plataforma Windows e ficou famoso devido a vários incidentes graves envolvendo a derrubada de sistemas pertencentes a diversas agências governamentais e empresas, incluindo o Departamento de Transportes do Texas e a Konica Minolta.
Sobre RansomEXX
O RansomEXX criptografa os dados no disco e, em seguida, exige um resgate para obter a chave de descriptografia.
A criptografia é implementada usando a biblioteca de código aberto mbedtls . Após ser executado, o malware gera uma chave de 256 bits e a utiliza para criptografar todos os arquivos disponíveis usando o algoritmo de criptografia de bloco AES no modo ECB.
Depois disso, uma nova chave AES é gerada a cada segundo, o que significa que arquivos diferentes são criptografados com chaves AES diferentes.
Cada chave AES é criptografada usando uma chave pública RSA-4096 incorporada no código do malware e anexada a cada arquivo criptografado . O ransomware oferece a venda de uma chave privada para a descriptografia.
Uma característica especial do RansomEXX é sua utilização em ataques direcionados, nos quais os invasores obtêm acesso a um dos sistemas da rede explorando vulnerabilidades ou utilizando métodos de engenharia social. Em seguida, atacam outros sistemas e implantam uma variante de malware especialmente montada para cada infraestrutura atacada, incluindo o nome da empresa e os dados de contato de cada um.
Inicialmente, durante o ataque às redes corporativas , os atacantes tentaram obter o controle do maior número possível de estações de trabalho para instalar malware nelas, mas essa estratégia se mostrou incorreta e, em muitos casos, os sistemas foram simplesmente reinstalados usando um backup, sem o pagamento do resgate.
Agora, a estratégia dos cibercriminosos mudou e seu objetivo principal é atacar sistemas de servidores corporativos , especialmente sistemas de armazenamento centralizados, incluindo aqueles que executam Linux.
Portanto, não seria surpreendente ver que os traders da RansomEXX a tornaram uma tendência definidora na indústria; Outros operadores de ransomware também podem implantar versões do Linux no futuro.
Recentemente, descobrimos um novo cavalo de Troia de criptografia de arquivo criado como um executável ELF com o objetivo de criptografar dados em máquinas controladas por sistemas operacionais baseados em Linux.
Após a análise inicial, notamos semelhanças no código do Trojan, no texto das notas de resgate e na abordagem geral da extorsão, sugerindo que realmente havíamos encontrado uma versão Linux da família de ransomware RansomEXX anteriormente conhecida. Esse malware é conhecido por atacar grandes organizações e estava mais ativo no início deste ano.
RansomEXX é um Trojan muito específico. Cada amostra do malware contém um nome codificado da organização da vítima. Além disso, tanto a extensão do arquivo criptografado quanto o endereço de e-mail para contato com os extorsionários usam o nome da vítima.
E esse movimento parece já ter começado. De acordo com a empresa de segurança cibernética Emsisoft, além do RansomEXX, os operadores por trás do ransomware Mespinoza (Pysa) também desenvolveram recentemente uma variante do Linux de sua versão inicial do Windows. De acordo com a Emsisoft, as variantes do RansomEXX Linux que eles descobriram foram implementadas pela primeira vez em julho.
Esta não é a primeira vez que os operadores de malware consideram o desenvolvimento de uma versão Linux de seu malware.
Por exemplo, podemos citar o caso do malware KillDisk, que havia sido usado para paralisar uma rede elétrica na Ucrânia em 2015.
Esta variante tornava "as máquinas Linux impossíveis de inicializar, depois de criptografar os arquivos e exigir um grande resgate". Ele tinha uma versão para Windows e uma versão para Linux, "que definitivamente é algo que não vemos todos os dias", observaram os pesquisadores da ESET.
Por fim, se desejar saber mais, você pode consultar os detalhes da publicação da Kaspersky no seguinte link.