Cercetătorii Kaspersky Lab au identificat o versiune Linux a malware-ului ransomware „RansomEXX” .
Inițial, RansomEXX a fost distribuit doar pe platforma Windows și a devenit faimos datorită mai multor incidente majore care au implicat dezactivarea sistemelor aparținând diverselor agenții și companii guvernamentale, inclusiv Departamentul de Transport din Texas și Konica Minolta.
Despre RansomEXX
RansomEXX criptează datele de pe disc și apoi cere o răscumpărare pentru a obține cheia de decriptare.
Criptarea este implementată folosind biblioteca open-source mbedtls . Odată lansat, malware-ul generează o cheie de 256 de biți și o folosește pentru a cripta toate fișierele disponibile folosind cifrul bloc AES în modul ECB.
După aceea, în fiecare secundă este generată o nouă cheie AES, ceea ce înseamnă că fișiere diferite sunt criptate cu chei AES diferite.
Fiecare cheie AES este criptată folosind o cheie publică RSA-4096 încorporată în codul malware și atașată fiecărui fișier criptat . Ransomware-ul oferă să vândă o cheie privată pentru decriptare.
O caracteristică specială a RansomEXX este utilizarea sa în atacuri direcționate, în timpul cărora atacatorii obțin acces la unul dintre sistemele din rețea prin compromiterea vulnerabilităților sau prin metode de inginerie socială, după care atacă alte sisteme și implementează o variantă de malware special asamblată pentru fiecare infrastructură atacată, inclusiv numele companiei și fiecare dintre datele de contact.
Inițial, în timpul atacului asupra rețelelor corporative , atacatorii au încercat să obțină controlul asupra cât mai multor stații de lucru pentru a instala programe malware pe acestea, dar această strategie s-a dovedit incorectă și, în multe cazuri, sistemele au fost pur și simplu reinstalate folosind o copie de rezervă, fără a plăti răscumpărarea.
Acum, strategia infractorilor cibernetici s-a schimbat , iar obiectivul lor este în principal de a învinge sistemele de servere corporative și în special sistemele de stocare centralizate, inclusiv cele care rulează Linux.
Prin urmare, nu ar fi surprinzător să vedem că operatorii RansomEXX au făcut din aceasta o tendință definitorie în industrie; Alți operatori de ransomware pot implementa, de asemenea, versiuni Linux în viitor.
Recent, am descoperit un nou troian de criptare a fișierelor creat ca un executabil ELF și destinat să cripteze datele de pe mașinile controlate de sistemele de operare bazate pe Linux.
După analiza inițială, am observat asemănări în codul troianului, textul notelor de răscumpărare și abordarea generală a extorcării, ceea ce sugerează că într-adevăr am găsit o versiune Linux a familiei de ransomware cunoscută anterior RansomEXX. Acest malware este cunoscut pentru că atacă organizațiile mari și a fost cel mai activ la începutul acestui an.
RansomEXX este un troian foarte specific. Fiecare eșantion de malware conține un nume codificat al organizației victimei. Mai mult, atât extensia fișierului criptat, cât și adresa de e-mail pentru a contacta extorsioniștii folosesc numele victimei.
Și această mișcare pare să fi început deja. Potrivit companiei de securitate cibernetică Emsisoft, pe lângă RansomEXX, operatorii din spatele ransomware-ului Mespinoza (Pysa) au dezvoltat recent și o variantă Linux din versiunea lor inițială de Windows. Potrivit Emsisoft, variantele RansomEXX Linux pe care le-au descoperit au fost implementate pentru prima dată în iulie.
Nu este prima dată când operatorii de programe malware se gândesc să dezvolte o versiune Linux a programelor lor malware.
De exemplu, putem cita cazul malware-ului KillDisk, care a fost folosit pentru a paraliza o rețea electrică din Ucraina în 2015.
Această variantă a făcut ca „mașinile Linux să nu fie pornite, având fișiere criptate și au cerut o răscumpărare mare”. Avea o versiune Windows și o versiune Linux, „ceea ce cu siguranță nu vedem în fiecare zi”, au observat cercetătorii ESET.
În cele din urmă, dacă doriți să aflați mai multe, puteți consulta detaliile publicației Kaspersky la următorul link.