REvil Ransomware portato su Linux per attacchi mirati
I ricercatori di sicurezza hanno informato la comunità infosec che il ransomware REvil, il malware responsabile del recente lavoro di ransomware da 11 milioni di dollari su JBS Foods, ha appena ricevuto una porta Linux. Secondo gli esperti di sicurezza che lavorano con AT&T Cybersecurity, la nuova porta inaspettata è un tentativo da parte degli hacker di prendere di mira la piattaforma di gestione delle VM ESXi di VMWare e i dispositivi NAS che utilizzano Linux come sistema operativo.
Threatpost ha riferito che i ricercatori di AT&T hanno individuato quattro diversi campioni della versione basata su Linux del ransomware REvil. I ricercatori hanno ricevuto un suggerimento dalle persone dietro la piattaforma ID Ransomware, note collettivamente come MalwareHunterTeam sulle piattaforme di social media. I campioni analizzati dai ricercatori erano nel formato ELF-64, un formato eseguibile standard per i sistemi operativi basati su Linux.
Il motivo per cui questa scoperta è considerata interessante è che nella coscienza generale i sistemi operativi basati su Unix e Linux non sono mai associati a malware. Ciò è dovuto sia al numero limitato di sistemi e reti che eseguono Linux rispetto a quelli basati su Windows, sia al fatto che Linux è sempre stato considerato più sicuro e più difficile da violare, poiché le vulnerabilità vengono risolte quasi istantaneamente da vigili membri della comunità degli sviluppatori.
Questo non vuol dire che non ci sia mai stato malware che abbia colpito i sistemi operativi basati su Linux in passato, è solo che il rapporto tra malware basato su Linux e basato su Windows è una piccola frazione. Vale la pena ripetere che all'inizio di quest'anno il gruppo DarkSide ha anche portato il proprio ransomware su Linux. L'obiettivo era lo stesso: l'infrastruttura ESXi di VMWare.
Esistono numerose somiglianze tra le versioni di REvil basate su Linux e Windows. Questi includono le stesse estensioni aggiunte ai file crittografati, l'identificatore condiviso fornito agli affiliati di terze parti e la codifica Base64 utilizzata nella stringa contenente la chiave pubblica.
Resta da vedere come la strana competizione tra i gruppi di attori delle minacce REvil e DarkSide si svilupperà sul nuovo fronte di Linux.
