Các nhà nghiên cứu của Kaspersky Lab đã xác định được một phiên bản Linux của phần mềm độc hại mã độc tống tiền "RansomEXX" .
Ban đầu, RansomEXX chỉ được phân phối trên nền tảng Windows và trở nên nổi tiếng nhờ một số sự cố lớn liên quan đến việc đánh sập hệ thống thuộc về nhiều cơ quan chính phủ và công ty khác nhau, bao gồm cả Sở Giao thông Vận tải Texas và Konica Minolta.
Giới thiệu về RansomEXX
RansomEXX mã hóa dữ liệu trên ổ đĩa và sau đó đòi tiền chuộc để lấy được khóa giải mã.
Quá trình mã hóa được thực hiện bằng thư viện mã nguồn mở mbedtls . Sau khi khởi chạy, phần mềm độc hại sẽ tạo ra một khóa 256 bit và sử dụng nó để mã hóa tất cả các tệp có sẵn bằng thuật toán mã hóa khối AES ở chế độ ECB.
Sau đó, một khóa AES mới được tạo ra mỗi giây, có nghĩa là các tệp khác nhau được mã hóa bằng các khóa AES khác nhau.
Mỗi khóa AES được mã hóa bằng khóa công khai RSA-4096 được nhúng trong mã độc và đính kèm vào mỗi tệp được mã hóa . Phần mềm tống tiền này chào bán khóa riêng để giải mã.
Một đặc điểm nổi bật của RansomEXX là khả năng sử dụng nó trong các cuộc tấn công có mục tiêu, trong đó kẻ tấn công giành quyền truy cập vào một trong các hệ thống trên mạng thông qua việc khai thác các lỗ hổng hoặc các phương pháp kỹ thuật xã hội, sau đó chúng tấn công các hệ thống khác và triển khai một biến thể phần mềm độc hại được thiết kế riêng cho từng cơ sở hạ tầng bị tấn công, bao gồm cả tên công ty và từng thông tin liên hệ khác nhau.
Ban đầu, trong cuộc tấn công vào mạng lưới doanh nghiệp , những kẻ tấn công đã cố gắng giành quyền kiểm soát càng nhiều máy trạm càng tốt để cài đặt phần mềm độc hại lên chúng, nhưng chiến lược này đã tỏ ra sai lầm và trong nhiều trường hợp, các hệ thống chỉ đơn giản được cài đặt lại bằng bản sao lưu mà không cần trả tiền chuộc.
Hiện nay, chiến lược của tội phạm mạng đã thay đổi và mục tiêu chính của chúng là tấn công các hệ thống máy chủ của doanh nghiệp , đặc biệt là các hệ thống lưu trữ tập trung, bao gồm cả những hệ thống chạy Linux.
Do đó, sẽ không ngạc nhiên khi thấy các nhà khai thác RansomEXX đã biến nó thành một xu hướng xác định trong ngành; Các nhà khai thác ransomware khác cũng có thể triển khai các phiên bản Linux trong tương lai.
Gần đây, chúng tôi đã phát hiện ra một trojan mã hóa tệp mới được tạo dưới dạng tệp thực thi ELF và nhằm mục đích mã hóa dữ liệu trên các máy được điều khiển bởi hệ điều hành dựa trên Linux.
Sau phân tích ban đầu, chúng tôi nhận thấy những điểm tương đồng trong mã Trojan, nội dung của ghi chú đòi tiền chuộc và cách tiếp cận tổng thể để tống tiền, điều này cho thấy rằng chúng tôi thực sự đã tìm thấy bản dựng Linux của dòng ransomware RansomEXX đã biết trước đây. Phần mềm độc hại này nổi tiếng với việc tấn công các tổ chức lớn và hoạt động tích cực nhất vào đầu năm nay.
RansomEXX là một Trojan rất cụ thể. Mỗi mẫu phần mềm độc hại chứa một tên được mã hóa của tổ chức nạn nhân. Hơn nữa, cả phần mở rộng của tệp được mã hóa và địa chỉ email để liên hệ với những kẻ tống tiền đều sử dụng tên của nạn nhân.
Và phong trào này dường như đã bắt đầu. Theo công ty an ninh mạng Emsisoft, ngoài RansomEXX, những kẻ đứng sau ransomware Mespinoza (Pysa) gần đây cũng đã phát triển một biến thể Linux từ phiên bản Windows đầu tiên của họ. Theo Emsisoft, các biến thể RansomEXX Linux mà họ phát hiện đã được triển khai lần đầu tiên vào tháng 7.
Đây không phải là lần đầu tiên các nhà khai thác phần mềm độc hại cân nhắc việc phát triển phiên bản Linux cho phần mềm độc hại của họ.
Ví dụ: chúng ta có thể trích dẫn trường hợp phần mềm độc hại KillDisk, được sử dụng để làm tê liệt lưới điện ở Ukraine vào năm 2015.
Biến thể này khiến “máy Linux không thể khởi động được, có các tệp được mã hóa và yêu cầu một khoản tiền chuộc lớn”. Các nhà nghiên cứu của ESET lưu ý rằng nó có phiên bản Windows và phiên bản Linux, "chắc chắn là thứ chúng ta không thấy hàng ngày".
Cuối cùng, nếu bạn muốn tìm hiểu thêm, bạn có thể tham khảo chi tiết bài viết của Kaspersky tại liên kết sau.