REvil Ransomware transferido para Linux para ataques direcionados
Pesquisadores de segurança informaram à comunidade infosec que o REvil ransomware, o malware responsável pelo recente trabalho de ransomware de US $ 11 milhões na JBS Foods, acaba de receber uma porta Linux. De acordo com os especialistas em segurança que trabalham com a AT&T Cybersecurity, a nova porta inesperada é uma tentativa de parte dos hackers de atingir a plataforma de gerenciamento ESXi VM da VMWare, bem como dispositivos NAS que usam Linux como sistema operacional.
O Threatpost relatou que os pesquisadores da AT&T encontraram quatro amostras diferentes da versão baseada em Linux do REvil ransomware. Os pesquisadores receberam uma dica das pessoas por trás da plataforma ID Ransomware, conhecida coletivamente como MalwareHunterTeam nas plataformas de mídia social. As amostras analisadas pelos pesquisadores estavam no formato ELF-64 - um formato executável padrão para sistemas operacionais baseados em Linux.
A razão pela qual esta descoberta é considerada interessante é que, na consciência geral, os sistemas operacionais baseados em Unix e Linux nunca estão associados a malware. Isso é devido ao número limitado de sistemas e redes que executam Linux em comparação com os baseados em Windows, bem como devido ao fato de que o Linux sempre foi considerado mais seguro e mais difícil de violar, já que as vulnerabilidades são abordadas quase instantaneamente por vigilantes membros da comunidade de desenvolvedores.
Isso não quer dizer que nunca houve malware que afetasse sistemas operacionais baseados em Linux no passado, mas a proporção de malware baseado em Linux em relação ao Windows é uma fração ínfima. Vale a pena repetir que no início deste ano o grupo DarkSide também portou seu próprio ransomware para o Linux. O foco era o mesmo - infraestrutura ESXi da VMWare.
Existem várias semelhanças entre as versões Linux e Windows do REvil. Esses incluem as mesmas extensões anexadas a arquivos criptografados, identificador compartilhado fornecido a afiliadas de terceiros, bem como a codificação Base64 usada na string que contém a chave pública.
Ainda não se sabe como a estranha competição entre os grupos de atores de ameaças do REvil e DarkSide se estenderá na nova frente do Linux.
