REvil Ransomware für gezielte Angriffe auf Linux portiert
Sicherheitsforscher teilten der infosec-Community mit, dass die Ransomware REvil, die Malware, die für den jüngsten Ransomware-Job in Höhe von 11 Millionen Dollar bei JBS Foods verantwortlich ist, gerade eine Linux-Portierung erhalten hat. Laut den Sicherheitsexperten von AT&T Cybersecurity ist der unerwartete neue Port ein Versuch der Hacker, die ESXi-VM-Verwaltungsplattform von VMWare sowie NAS-Geräte, die Linux als Betriebssystem verwenden, ins Visier zu nehmen.
Threatpost berichtete, dass die AT&T-Forscher vier verschiedene Beispiele der Linux-basierten Version der REvil-Ransomware entdeckt haben. Die Forscher erhielten einen Tipp von den Leuten hinter der ID Ransomware-Plattform, die auf Social-Media-Plattformen gemeinsam als MalwareHunterTeam bekannt ist. Die von den Forschern analysierten Proben lagen im ELF-64-Format vor – einem ausführbaren Standardformat für Linux-basierte Betriebssysteme.
Der Grund, warum diese Entdeckung als interessant angesehen wird, ist, dass im allgemeinen Bewusstsein Unix- und Linux-basierte Betriebssysteme nie mit Malware in Verbindung gebracht werden. Das liegt sowohl an der begrenzten Anzahl von Systemen und Netzwerken, auf denen Linux im Vergleich zu Windows-basierten Systemen ausgeführt wird, als auch an der Tatsache, dass Linux immer als sicherer und schwerer zu knacken angesehen wurde, da Sicherheitslücken fast sofort von Wachsamkeit behoben werden Mitglieder der Entwickler-Community.
Das soll nicht heißen, dass es in der Vergangenheit noch nie Malware gab, die Linux-basierte Betriebssysteme befallen hat, aber das Verhältnis von Linux- zu Windows-basierter Malware ist nur ein winziger Bruchteil. Es muss wiederholt werden, dass die DarkSide-Gruppe Anfang dieses Jahres auch ihre eigene Ransomware auf Linux portiert hat. Der Fokus war der gleiche - die ESXi-Infrastruktur von VMWare.
Es gibt eine Reihe von Ähnlichkeiten zwischen den Linux- und Windows-basierten Versionen von REvil. Dazu gehören dieselben Erweiterungen, die an verschlüsselte Dateien angehängt werden, gemeinsame Kennungen, die an verbundene Drittparteien vergeben werden, sowie die Base64-Codierung, die in der Zeichenfolge mit dem öffentlichen Schlüssel verwendet wird.
Wie sich die seltsame Konkurrenz zwischen den Bedrohungsakteuren von REvil und DarkSide an der neuen Linux-Front entwickelt, bleibt abzuwarten.
