REvil Ransomware portado a Linux para ataques dirigidos

Los investigadores de seguridad informaron a la comunidad infosec que el ransomware REvil, el malware responsable del reciente trabajo de ransomware de $ 11 millones en JBS Foods, acaba de recibir un puerto de Linux. Según los expertos en seguridad que trabajan con AT&T Cybersecurity, el nuevo puerto inesperado es un intento por parte de los piratas informáticos de apuntar a la plataforma de administración de VM ESXi de VMWare, así como a los dispositivos NAS que usan Linux como su sistema operativo.

Threatpost informó que los investigadores de AT&T han detectado cuatro muestras diferentes de la versión basada en Linux del ransomware REvil. Los investigadores recibieron un consejo de las personas detrás de la plataforma ID Ransomware, conocida colectivamente como MalwareHunterTeam en las plataformas de redes sociales. Las muestras analizadas por los investigadores estaban en formato ELF-64, un formato ejecutable estándar para los sistemas operativos basados en Linux.

La razón por la que este descubrimiento se considera interesante es que, en la conciencia general, los sistemas operativos basados en Unix y Linux nunca están asociados con el malware. Esto se debe tanto al número limitado de sistemas y redes que ejecutan Linux en comparación con los basados en Windows, como al hecho de que Linux siempre se ha considerado más seguro y más difícil de violar, ya que las vulnerabilidades se abordan casi instantáneamente por vigilantes. miembros de la comunidad de desarrolladores.

Eso no quiere decir que nunca ha habido malware que afecte a los sistemas operativos basados en Linux en el pasado, es solo que la proporción de malware basado en Linux y basado en Windows es una pequeña fracción. Vale la pena repetir que a principios de este año el grupo DarkSide también portó su propio ransomware a Linux. El enfoque era el mismo: la infraestructura ESXi de VMWare.

Hay una serie de similitudes entre las versiones de REvil para Linux y Windows. Entre ellos se incluyen las mismas extensiones adjuntas a los archivos cifrados, el identificador compartido otorgado a afiliados de terceros, así como la codificación Base64 utilizada en la cadena que contiene la clave pública.

Queda por ver cómo se desarrolla la extraña competencia entre los grupos de actores de amenazas REvil y DarkSide en el nuevo frente de Linux.