卡巴斯基實驗室的研究人員發現了「RansomEXX」勒索軟體的Linux版本。
最初，RansomEXX僅在 Windows 平台上分發，並因幾起涉及多個政府機構和公司（包括德克薩斯州交通部和柯尼卡美能達）系統癱瘓的重大事件而聞名。
關於RansomEXX
RansomEXX 會對磁碟上的資料進行加密，然後索取贖金以取得解密金鑰。
此加密演算法使用開源的mbedtls函式庫實作。惡意軟體啟動後，會產生一個256位元金鑰，並使用該金鑰以ECB模式的AES分組密碼對所有可用檔案進行加密。
之後，每秒都會產生新的 AES 金鑰，這意味著不同的檔案會使用不同的 AES 金鑰進行加密。
每個 AES 金鑰都使用嵌入在惡意軟體程式碼中並附加到每個加密檔案的RSA-4096 公鑰進行加密。該勒索軟體提供出售私鑰以進行解密的贖金。
RansomEXX 的一個特殊功能是用於定向攻擊，攻擊者透過利用漏洞或社會工程手段入侵網路上的某個系統，然後攻擊其他系統，並針對每個被攻擊的基礎設施部署專門組裝的惡意軟體變種，其中包括公司名稱和各種不同的聯繫方式。
最初，在攻擊企業網路期間，攻擊者試圖控制盡可能多的工作站，以便在其上安裝惡意軟體，但這種策略被證明是錯誤的，在許多情況下，系統只是使用備份重新安裝，而無需支付贖金。
現在網路犯罪分子的策略已經改變，他們的主要目標是攻擊企業伺服器系統，尤其是集中式儲存系統，包括運行 Linux 的系統。
因此，看到RansomEXX交易員已使其成為行業中的趨勢是不足為奇的。 其他勒索軟件運營商也可能會在將來部署Linux版本。
我們最近發現了一種新的文件加密木馬，它被創建為ELF可執行文件，旨在對基於Linux的操作系統控制的計算機上的數據進行加密。
經過初步分析，我們注意到特洛伊木馬程序的代碼，勒索註釋的文本以及勒索的一般方法的相似之處，這表明我們實際上已經找到了先前已知的勒索軟件RansomEXX系列的Linux構建。 該惡意軟件已知會攻擊大型組織，並於今年早些時候最活躍。
RansomEXX是一個非常特定的木馬。 惡意軟件的每個樣本都包含受害者組織的編碼名稱。 此外，加密文件的擴展名和用於聯繫勒索者的電子郵件地址都使用受害者的名字。
而且這一運動似乎已經開始。 據網絡安全公司Emsisoft稱，除了RansomEXX，Mespinoza（Pysa）勒索軟件背後的運營商最近還從其最初的Windows版本開發了Linux變體。 據Emsisoft稱，他們發現的RansomEXX Linux變體於XNUMX月份首次實現。
這不是惡意軟件運營商第一次考慮開發其惡意軟件的Linux版本。
例如，我們可以舉出KillDisk惡意軟件的案例，該惡意軟件曾在2015年被用來癱瘓烏克蘭的電網。
這種變體使得“在加密文件並要求大筆贖金之後，Linux機器無法啟動”。 ESET研究人員指出，它具有Windows版本和Linux版本，“這絕對是我們每天都看不到的東西”。
最後，如果您想了解更多信息，可以點擊以下鏈接查看卡巴斯基發布的詳細信息。