安全公司 Kaspersky 日前發(fā)現了一個(gè)新的文件加密木馬,它是 ELF 可執行文件,旨在對基于 Linux 的操作系統計算機上的數據進(jìn)行加密。
Kaspersky 經(jīng)過(guò)初步分析,發(fā)現遇到的實(shí)際是已知勒索軟件 RansomEXX 的 Linux 構建版本。
RansomEXX 是年初開(kāi)始活躍的一種大規模的勒索軟件,主要針對有能力支付大額贖金的目標,其攻擊對象包括德克薩斯州交通運輸部 TxDOT 和柯尼卡美能達 Konica Minolta,政府承包商 Tyler Technologies,蒙特利爾公交系統和巴西法院系統。
RansomEXX 背后的運營(yíng)者創(chuàng )建 Linux 版本估計是考慮到今天許多企業(yè)的內部系統運行在 Linux 而不是 Windows 上。
技術(shù)說(shuō)明
Kaspersky 公司遇到的示例 aa1ddf0c8312349be614ff43e80a262f 是 64 位 ELF 可執行文件。該木馬使用開(kāi)源庫 mbedtls 中的函數實(shí)現其加密方案。
啟動(dòng)后,該木馬會(huì )生成一個(gè) 256 位的密鑰,并使用該密鑰加密攻擊目標的所有文件。這些文件可以使用 ECB 模式下的 AES 分組密鑰訪(fǎng)問(wèn),AES 密鑰通過(guò)嵌入在木馬程序主體中的公共 RSA-4096 密鑰進(jìn)行加密,并附加到每個(gè)加密文件中。此外,該木馬還會(huì )啟動(dòng)一個(gè)線(xiàn)程,每 0.18 秒重新生成并加密 AES 密鑰,而經(jīng)過(guò)測算實(shí)際是每秒變化一次。
該樣本目前檢測到的威脅僅包括加密文件和留下贖金記錄。
Kaspersky 公司對比了 Windows 系統上的 RansomEXX 和新木馬對 AES 密鑰加密的過(guò)程。左側是 ELF 樣本 aa1ddf0c8312349be614ff43e80a262f; 右側是用于 TxDOT 攻擊的 PE 樣本 fcd21c6fca3b9378961aa1865bee7ecb。盡管二者有不同優(yōu)化選項且針對不同平臺編譯器構建,但相似性非常明顯。另外,二者的“作案手法”——代碼布局、贖金記錄文本、標題措辭等等相同。
本文轉自OSCHINA。
本文標題:Linux 更安全?大規模 Windows 勒索軟件移植至 Linux
本文地址:https://www.oschina.net/news/120117/windows-ransomexx-ported-to-linux