Výskumníci spoločnosti Kaspersky Lab identifikovali verziu malvéru ransomvéru „RansomEXX“ pre Linux .
RansomEXX bol spočiatku distribuovaný iba na platforme Windows a stal sa slávnym vďaka niekoľkým závažným incidentom, ktoré zahŕňali vyradenie systémov patriacich rôznym vládnym agentúram a spoločnostiam vrátane Texaského ministerstva dopravy a spoločnosti Konica Minolta.
O spoločnosti RansomEXX
RansomEXX zašifruje dáta na disku a potom požaduje výkupné za získanie dešifrovacieho kľúča.
Šifrovanie je implementované pomocou open-source knižnice mbedtls . Po spustení malvér vygeneruje 256-bitový kľúč a použije ho na zašifrovanie všetkých dostupných súborov pomocou blokovej šifry AES v režime ECB.
Potom sa každú sekundu generuje nový kľúč AES, čo znamená, že rôzne súbory sú šifrované rôznymi kľúčmi AES.
Každý AES kľúč je šifrovaný pomocou verejného kľúča RSA-4096, ktorý je vložený do kódu škodlivého softvéru a je pripojený ku každému zašifrovanému súboru . Ransomvér ponúka na predaj súkromný kľúč na dešifrovanie.
Špeciálnou vlastnosťou RansomEXX je jeho použitie pri cielených útokoch, počas ktorých útočníci získajú prístup k jednému zo systémov v sieti prostredníctvom kompromitácie zraniteľností alebo metód sociálneho inžinierstva, po čom zaútočia na iné systémy a pre každú napadnutú infraštruktúru nasadia špeciálne zostavený variant malvéru vrátane názvu spoločnosti a všetkých kontaktných údajov.
Počas útoku na firemné siete sa útočníci spočiatku snažili získať kontrolu nad čo najväčším počtom pracovných staníc, aby na ne nainštalovali malvér, ale táto stratégia sa ukázala ako nesprávna a v mnohých prípadoch boli systémy jednoducho preinštalované pomocou zálohy bez zaplatenia výkupného.
Stratégia kyberzločincov sa teraz zmenila a ich cieľom je predovšetkým poraziť firemné serverové systémy a najmä centralizované úložné systémy vrátane tých, ktoré používajú Linux.
Takže by nebolo prekvapujúce vidieť, že obchodníci RansomEXX z toho urobili určujúci trend v priemysle; V budúcnosti môžu verzie Linuxu nasadiť aj ďalší operátori ransomvéru.
Nedávno sme objavili nový trójsky kôň na šifrovanie súborov vytvorený ako spustiteľný súbor ELF a určený na šifrovanie údajov na strojoch ovládaných operačnými systémami založenými na systéme Linux.
Po počiatočnej analýze sme si všimli podobnosti v kóde trójskeho koňa, textu poznámok o výkupnom a celkovom prístupe k vydieraniu, čo naznačuje, že sme skutočne našli zostavenie Linuxu zo skôr známej rodiny ransomware RansomEXX. Je známe, že tento malware útočí na veľké organizácie a bol najaktívnejší začiatkom tohto roka.
RansomEXX je veľmi špecifický trójsky kôň. Každá vzorka škodlivého softvéru obsahuje zakódovaný názov organizácie obete. Okrem toho prípona šifrovaného súboru a e-mailová adresa na kontaktovanie vydieračov používajú meno obete.
A zdá sa, že toto hnutie už začalo. Podľa kybernetickej bezpečnostnej firmy Emsisoft vyvinuli okrem RansomEXX aj operátori ransomvéru Mespinoza (Pysa) v poslednej dobe aj variant Linux pre svoju pôvodnú verziu Windows. Podľa Emsisoftu boli varianty RansomEXX Linux, ktoré objavili, prvýkrát implementované v júli.
Nie je to prvýkrát, čo operátori malvéru uvažujú o vývoji verzie svojho malvéru pre systém Linux.
Môžeme napríklad uviesť prípad malvéru KillDisk, ktorý sa v roku 2015 použil na paralyzovanie elektrickej siete na Ukrajine.
Tento variant znemožňoval zavedenie „strojov Linux“ po zašifrovaní súborov a požadovaní veľkého výkupného. “ Mal verziu pre Windows a Linux, „čo je určite niečo, čo nevidíme každý deň,“ poznamenali vedci z ESETu.
Ak sa chcete dozvedieť viac, podrobnosti o publikácii spoločnosti Kaspersky si môžete prečítať na nasledujúcom odkaze.