DarkRadiation Ransomware bedroht Linux-Distributionen
Es überrascht nicht, dass die Mehrheit der im Internet veröffentlichten Malware ausschließlich auf Windows-Computer abzielt. Immerhin ist dies das am weitesten verbreitete Betriebssystem der Welt. Aber auch UNIX-basierte Betriebssysteme werden immer häufiger von Bedrohungsakteuren ins Visier genommen. Mac-Benutzer fühlen sich nicht mehr so sicher wie noch vor einigen Jahren, und dasselbe könnte auch für Linux-Benutzer gelten. Einige moderne Malware-Familien zielen auf bestimmte Linux-Distributionen ab, und der heutige Beitrag konzentriert sich auf eine solche Bedrohung – die DarkRadiation Ransomware.
DarkRadiation Ransomware konzentriert sich auf Red Hat und CentOS
Die Schöpfer der DarkRadiation Ransomware sind unbekannt, aber sie scheinen mit den Besonderheiten von Red Hat und CentOS vertraut zu sein, den beiden Linux-Distributionen, auf die diese Malware abzielt. Der Angriff umfasst mehrere Phasen, und die Angreifer nutzen einen speziell entwickelten Wurm sowie öffentliche Tools, um die von ihnen verwendeten bösartigen Bash-Skripte zu verschleiern. Laut Cybersicherheitsforschern wird die DarkRadiation Ransomware häufig aktualisiert, und sie haben Dutzende verschiedener Versionen des File-Lockers identifiziert. Die meisten dieser Versionen wiesen jedoch geringfügige Unterschiede auf.
Die Kriminellen verlassen sich auf ein einfaches SSH-Wurmskript, um SSH-Schlüssel und -Passwörter, die nicht komplex genug sind, brutal zu erzwingen. Wenn eine Verbindung erfolgreich hergestellt wurde, setzt die Wurmkomponente die DarkRadiation Ransomware ein und fährt mit dem Angriff fort.
Während der ultimative Zweck der DarkRadiation Ransomware darin besteht, die Daten des Opfers zu verschlüsseln und sie dann gegen Geld zu erpressen, macht sie nebenbei auch einige ziemlich faszinierende Dinge. Für den Anfang hat es ein verschleiertes Bash-Skript, das folgende Zwecke erfüllt:
- Setzen Sie die Passwörter aller bestehenden Benutzer auf megapassword .
- Anlegen eines neuen Benutzers namens ferrum mit dem Passwort MegPw0rD3 .
- Löschen Sie alle anderen Benutzer außer ferrum .
Sobald eine Datei gesperrt ist, fügt die Ransomware eine interessante Erweiterung hinzu – ein radioaktives Symbol (☢). Anschließend beendet sie alle Docker-Instanzen und erzeugt die Lösegeldforderung in einem neuen Terminalfenster. Während dieses gesamten Vorgangs melden sich die DarkRadiation Ransomware und der SSH-Wurm mithilfe eines Telegram-Bots beim Angreifer.
Die DarkRadiation Ransomware gilt nicht als entschlüsselbar, und die einzige zuverlässige Wiederherstellungsoption für ihre Opfer besteht darin, die verlorenen Dateien aus einem Backup wiederherzustellen.
