RansomExx勒索软件现在也针对Linux系统

赎金

RansomExx Ransomware团伙正在通过创建能够感染Linux机器的新版本来扩展其业务。

RansomExx勒索软件运营商正在通过开发Linux版本的恶意软件来扩展其业务。

卡巴斯基的研究人员分析了Linux版本的RansomExx勒索软件,也被称为Defray777。

上周,RansomExx勒索软件已涉嫌对巴西高级法院的攻击。

RansomEXX是人为操作的勒索软件,这意味着攻击者在获得对目标网络的访问权限后便手动感染了系统。

2020年6月,对德州运输部的攻击中使用了相同的勒索软件 ; 8月,跨国技术公司 柯尼卡美能达(Konica Minolta)被该木马程序感染了系统;9月,  IPG Photonics 高性能激光开发商和软件提供商 Tyler Technologies同样被该木马程序感染了该系统。

最近发现的RansomExx勒索软件的Linux版本是作为ELF可执行文件(名为“ svc-new”)构建的,该文件对目标服务器进行加密。

卡巴斯基发表的报告称:“经过初步分析,我们注意到木马程序的代码,勒索注释的文字和勒索的一般方法的相似之处,这表明我们实际上已经遇到了以前已知的勒索软件家族RansomEXX的Linux版本,”

启动木马程序后,它将生成一个256位密钥,该密钥用于使用ECB模式下的AES块密码对可以到达的所有受害者文件进行加密。AES密钥由嵌入在恶意软件代码中的公共RSA-4096密钥加密,并附加到所有加密文件中。

专家指出,勒索软件缺乏其他木马实现的其他功能,例如C2通信,反分析功能以及杀死进程的能力。

与Windows版本不同,Linux变体不会擦除可用空间。

专家注意到,当受害者支付赎金时,他们将同时获得Linux和Windows解密器,以及相应的RSA-4096私钥和嵌入在可执行文件中的加密文件扩展名。

尽管Windows和Linux变体是由具有不同优化选项和针对不同平台的不同编译器构建的,但它们的相似之处显而易见:

RansomExx赎金

卡巴斯基的报告还包括新变种的危害指标(IoC)。

*编译:Domino

*来自:securityaffairs