关于我们

质量为本、客户为根、勇于拼搏、务实创新

< 返回新闻公共列表

大规模 Windows 勒索软件移植至 Linux

发布时间:2020-11-10 16:34:22

安全公司 Kaspersky 日前发现了一个新的文件加密木马,它是 ELF 可执行文件,旨在对基于 Linux 的操作系统计算机上的数据进行加密。

Kaspersky 经过初步分析,发现遇到的实际是已知勒索软件 RansomEXX 的 Linux 构建版本。

RansomEXX 是年初开始活跃的一种大规模的勒索软件,主要针对有能力支付大额赎金的目标,其攻击对象包括德克萨斯州交通运输部 TxDOT 和柯尼卡美能达 Konica Minolta,政府承包商 Tyler Technologies,蒙特利尔公交系统和巴西法院系统。

RansomEXX 背后的运营者创建 Linux 版本估计是考虑到今天许多企业的内部系统运行在 Linux 而不是 Windows 上。

技术说明

Kaspersky 公司遇到的示例 aa1ddf0c8312349be614ff43e80a262f 是 64 位 ELF 可执行文件。该木马使用开源库 mbedtls 中的函数实现其加密方案。

启动后,该木马会生成一个 256 位的密钥,并使用该密钥加密攻击目标的所有文件。这些文件可以使用 ECB 模式下的 AES 分组密钥访问,AES 密钥通过嵌入在木马程序主体中的公共 RSA-4096 密钥进行加密,并附加到每个加密文件中。此外,该木马还会启动一个线程,每 0.18 秒重新生成并加密 AES 密钥,而经过测算实际是每秒变化一次。

该样本目前检测到的威胁仅包括加密文件和留下赎金记录。

Kaspersky 公司对比了 Windows 系统上的 RansomEXX 和新木马对 AES 密钥加密的过程。左侧是 ELF 样本 aa1ddf0c8312349be614ff43e80a262f; 右侧是用于 TxDOT 攻击的 PE 样本 fcd21c6fca3b9378961aa1865bee7ecb。尽管二者有不同优化选项且针对不同平台编译器构建,但相似性非常明显。另外,二者的“作案手法”——代码布局、赎金记录文本、标题措辞等等相同。



/template/Home/East263/PC/Static
售前咨询
公司总机:4000043998 01056155355
24小时电话:010-5615999818601349900
投诉电话:18910191973
值班售后/技术支持
售后服务/财务
备案专员
紧急电话:18610088800