Python Ransomware slaat toe op blootgestelde Jupyter Notebook-instanties

Python is geen programmeertaal die doorgaans wordt geassocieerd met ransomware. De meeste ransomware-toolkits zijn gecodeerd in verschillende talen. Eind 2021 werd echter een nieuwe ransomware-stam ontdekt die in Python is geschreven. Op Python gebaseerde ransomware wordt nu gebruikt in een nieuwe aanvalscampagne, gericht op het Jupyter Notebook-platform.

Jupyter Notebook is een webgebaseerd interactief computerplatform dat vaak wordt gebruikt voor visualisaties van verschillende soorten gegevens.

Een onderzoeksteam van Aqua Security ontdekte de nieuwe aanval met behulp van de op Python gebaseerde ransomware-stam.

Blootgestelde en verkeerd geconfigureerde instantietargeting

De manier waarop de nieuwe campagne zijn slachtoffers vindt, is relatief eenvoudig. De dreigingsactoren achter de campagne scannen op Jupyter Notebook-omgevingen die onbeveiligd zijn gebleven vanwege een slechte configuratie.

Het Aqua Security-team heeft een testomgeving opgezet, waarbij de instantie van Jupyter Notebook expres onbeschermd en onbeveiligd is gelaten. De dreigingsactor stapte in de door een onderzoeker bediende instantie en downloadde een aantal kwaadaardige tools op de server met behulp van terminalopdrachten. In een verrassend moeizame stap, gezien hoe de meeste malwarecampagnes werken, genereerden de hackers vervolgens handmatig een Python-script en gebruikten dat script om de ransomware-payload uit te voeren.

Hoewel de hackers waarschijnlijk ontdekten dat ze in een honeypot werkten en geen echt doelwit, en de aanval niet afmaakten, denken onderzoekers dat ze genoeg weten om erachter te komen hoe de volledige aanvalsketen eruitziet.

Python-ransomware waarschijnlijk nog in testfase

De payload versleutelt eerst de bestanden, verwijdert vervolgens de niet-versleutelde kopieën en vervolgens het script dat wordt gebruikt om de ransomware te starten. Het ontbreken van een losgeldbrief en enige vorm van geldelijke vraag als onderdeel van het proces geeft waarschijnlijk aan dat de ransomware nog steeds wordt getest en verbeterd.

De aard van Jupyter Notebook-omgevingen als doelwit maakt die Python-ransomware-aanvallen gevaarlijk. Gegevens die worden verwerkt en verwerkt door de Jupyter Notebook-omgeving die het doelwit is, kunnen van gevoelige aard zijn en leiden tot aanzienlijke schade aan de entiteit die ermee werkt.