U zbulua një version i RansomEXX për Linux

Studiuesit nga Kaspersky Lab kanë identifikuar një Versioni Linux dmalware i programeve ransomware "RansomEXX".

Fillimisht, RansomEXX u shpërnda vetëm në platformën Windows dhe u bë i famshëm për shkak të disa incidenteve të mëdha me disfatën e sistemeve të agjencive dhe kompanive të ndryshme qeveritare, përfshirë Departamentin e Transportit të Teksasit dhe Konica Minolta.

Rreth RansomEXX

RansomEXX kripton të dhëna në disk dhe më pas kërkon shpërblim për të marrë çelësin e dekriptimit. 

Kriptimi organizohet duke përdorur bibliotekën mbedtls de Burim i Hapur. Pasi të nisë, malware krijon një çelës 256-bit dhe e përdor atë për të kriptuar të gjitha skedarët në dispozicion duke përdorur kriptimin e bllokut AES në mënyrën ECB. 

Pas kesaj një çelës i ri AES gjenerohet çdo sekondë, domethënë skedarë të ndryshëm kriptohen me çelësa të ndryshëm AES.

Çdo çelës AES është i koduar duke përdorur një çelës publik RSA-4096 ngulitur në kodin e malware dhe është e bashkangjitur në çdo skedar të koduar. Për deshifrim, ransomware ofron për të blerë një çelës privat prej tyre.

Një tipar i veçantë i RansomEXX Është e juaji përdorimi në sulme të synuara, gjatë së cilës sulmuesit fitojnë qasje në një nga sistemet në rrjet përmes kompromisit të dobësive ose metodave të inxhinierisë sociale, pas së cilës ata sulmojnë sisteme të tjera dhe vendosin një variant të mbledhur posaçërisht të malware për secilën infrastrukturë të sulmuar, duke përfshirë emrin e kompanisë dhe secilin prej tyre detajet e ndryshme të kontaktit.

Fillimisht, gjatë sulmit në rrjetet e korporatave, sulmuesit ata u përpoqën të merrnin kontrollin të sa më shumë stacioneve të punës të jetë e mundur për të instaluar malware në to, por kjo strategji doli të jetë e pasaktë dhe në shumë raste sistemet thjesht u riinstaluan duke përdorur një rezervë pa paguar shpërblimin. 

tani Strategjia e kriminelëve kibernetikë ka ndryshuar y qëllimi i tyre ishte të mposhtnin kryesisht sistemet e serverëve të korporatave dhe veçanërisht te sistemet e ruajtjes së centralizuar, përfshirë ato që përdorin Linux.

Kështu që nuk do të ishte për t'u habitur të shihnim që tregtarët e RansomEXX e kanë bërë atë një trend përcaktues në industri; Operatorë të tjerë ransomware gjithashtu mund të vendosin versione të Linux në të ardhmen.

Kohët e fundit kemi zbuluar një trojan të ri të enkriptimit të skedarëve të krijuar si një ekzekutues ELF dhe që synon të kriptojë të dhënat në makinat e kontrolluara nga sistemet operative të bazuara në Linux.

Pas analizës fillestare, vumë re ngjashmëri në kodin e Trojanit, tekstin e shënimeve të shpërblimit dhe qasjen e përgjithshme ndaj zhvatjes, duke sugjeruar se në të vërtetë kishim gjetur një ndërtesë Linux të ransomware të familjes RansomEXX të njohur më parë. Ky malware është i njohur për të sulmuar organizata të mëdha dhe ishte më aktiv në fillim të këtij viti.

RansomEXX është një Trojan shumë specifik. Çdo mostër e malware përmban një emër të koduar të organizatës viktimë. Për më tepër, si zgjerimi i skedarit të koduar dhe adresa e postës elektronike për të kontaktuar zhvatësit përdorin emrin e viktimës.

Dhe kjo lëvizje duket se tashmë ka filluar. Sipas firmës së sigurisë kibernetike Emsisoft, përveç RansomEXX, operatorët që qëndrojnë pas ransomware Mespinoza (Pysa) gjithashtu kanë zhvilluar kohët e fundit një variant Linux nga versioni i tyre fillestar i Windows. Sipas Emsisoft, variantet RansomEXX Linux që ata zbuluan u zbatuan për herë të parë në korrik.

Kjo nuk është hera e parë që operatorët malware kanë konsideruar zhvillimin e një versioni Linux të malware-it të tyre.

Për shembull, ne mund të citojmë rastin e malware KillDisk, i cili ishte përdorur për të paralizuar një rrjet elektrik në Ukrainë në 2015.

Ky variant e bëri "makineritë Linux të pamundura për tu nisur, pasi të kishin kriptuar skedarët dhe kërkuar një shpërblim të madh". Ai kishte një version Windows dhe një version Linux, "që është padyshim diçka që nuk e shohim çdo ditë", vunë në dukje studiuesit e ESET.

Më në fund, nëse doni të dini më shumë rreth tij, mund të kontrolloni detajet e botimit të Kaspersky Në lidhjen vijuese.