Kaspersky Lab araştırmacıları, "RansomEXX" fidye yazılımının Linux sürümünü tespit etti .
Başlangıçta RansomEXX yalnızca Windows platformunda dağıtılıyordu ve Teksas Ulaştırma Bakanlığı ve Konica Minolta da dahil olmak üzere çeşitli devlet kurumlarına ve şirketlere ait sistemlerin devre dışı bırakılmasıyla ilgili birkaç büyük olay nedeniyle ünlendi.
RansomEXX Hakkında
RansomEXX, diskteki verileri şifreler ve ardından şifre çözme anahtarını elde etmek için fidye talep eder.
Şifreleme, açık kaynaklı mbedtls kütüphanesi kullanılarak gerçekleştirilir . Çalıştırıldıktan sonra , kötü amaçlı yazılım 256 bitlik bir anahtar oluşturur ve bu anahtarı kullanarak tüm mevcut dosyaları AES blok şifreleme algoritmasıyla ECB modunda şifreler.
Bundan sonra her saniye yeni bir AES anahtarı oluşturulur; bu da farklı dosyaların farklı AES anahtarlarıyla şifrelendiği anlamına gelir.
Her AES anahtarı, kötü amaçlı yazılım koduna gömülü ve her şifrelenmiş dosyaya eklenmiş bir RSA-4096 açık anahtarı kullanılarak şifrelenir . Fidye yazılımı, şifre çözme için özel bir anahtar satmayı teklif eder.
RansomEXX'in özel bir özelliği, hedefli saldırılarda kullanılmasıdır; bu saldırılarda saldırganlar, güvenlik açıklarından veya sosyal mühendislik yöntemlerinden yararlanarak ağdaki sistemlerden birine erişim sağlarlar, ardından diğer sistemlere saldırarak her bir saldırıya uğrayan altyapı için özel olarak hazırlanmış bir kötü amaçlı yazılım varyantı dağıtırlar; bu varyantlar şirket adını ve farklı iletişim bilgilerini içerir.
Başlangıçta, kurumsal ağlara yönelik saldırı sırasında , saldırganlar mümkün olduğunca çok iş istasyonunun kontrolünü ele geçirip bunlara kötü amaçlı yazılım yüklemeye çalıştılar, ancak bu strateji yanlış çıktı ve birçok durumda sistemler fidye ödenmeden yedekleme kullanılarak yeniden kuruldu.
Siber suçluların stratejisi değişti ve artık öncelikli hedefleri kurumsal sunucu sistemlerini ve özellikle Linux işletim sistemiyle çalışanlar da dahil olmak üzere merkezi depolama sistemlerini hedef almaktır.
Bu nedenle RansomEXX operatörlerinin bunu sektörde belirleyici bir trend haline getirdiğini görmek şaşırtıcı olmayacaktır; Diğer fidye yazılımı operatörleri de gelecekte Linux sürümlerini dağıtabilir.
Yakın zamanda, ELF yürütülebilir dosyası olarak oluşturulan ve Linux tabanlı işletim sistemleri tarafından kontrol edilen makinelerdeki verileri şifrelemeyi amaçlayan yeni bir dosya şifreleme truva atı keşfettik.
İlk analizden sonra, Truva atının kodunda, fidye notlarının metninde ve şantaj konusundaki genel yaklaşımda benzerlikler fark ettik; bu da aslında önceden bilinen RansomEXX fidye yazılımı ailesinin bir Linux yapısını bulduğumuzu gösteriyordu. Bu kötü amaçlı yazılımın büyük kuruluşlara saldırmasıyla biliniyor ve en çok bu yılın başlarında aktifti.
RansomEXX çok özel bir Truva atıdır. Kötü amaçlı yazılımın her örneği, kurban kuruluşun kodlanmış bir adını içerir. Ayrıca, hem şifrelenmiş dosyanın uzantısı hem de gaspçılarla iletişim kurmak için e-posta adresi kurbanın adını kullanır.
Ve bu hareket çoktan başlamış gibi görünüyor. Siber güvenlik firması Emsisoft'a göre, Mespinoza (Pysa) fidye yazılımının arkasındaki operatörler, RansomEXX'e ek olarak yakın zamanda Windows'un ilk sürümünden bir Linux varyantı da geliştirdiler. Emsisoft'a göre, keşfettikleri RansomEXX Linux çeşitleri ilk olarak Temmuz ayında devreye alındı.
Bu, kötü amaçlı yazılım operatörlerinin kötü amaçlı yazılımlarının Linux sürümünü geliştirmeyi ilk kez düşünmeleri değil.
Örneğin, 2015 yılında Ukrayna'da bir elektrik şebekesini felç etmek için kullanılan KillDisk kötü amaçlı yazılım vakasını örnek verebiliriz.
Bu varyant, "Linux makinelerini yeniden başlatılamaz hale getirdi, şifrelenmiş dosyalara sahipti ve büyük bir fidye talep etti." ESET araştırmacıları, bunun bir Windows sürümü ve bir de Linux sürümü olduğunu belirtti; "ki bu kesinlikle her gün göremediğimiz bir şey."
Son olarak, daha fazla bilgi edinmek isterseniz, Kaspersky'nin yayınladığı detaylı bilgilere aşağıdaki bağlantıdan ulaşabilirsiniz .