Οι ερευνητές παρατήρησαν μια νέα παραλλαγή Linux του ransomware TargetCompany, που στοχεύει περιβάλλοντα VMware ESXi χρησιμοποιώντας ένα προσαρμοσμένο σενάριο shell, για την παράδοση και την εκτέλεση ωφέλιμων φορτίων.
Δείτε επίσης: KVRT: Το νέο εργαλείο της Kaspersky για σάρωση και αφαίρεση ιών σε Linux
Γνωστή και ως Mallox, FARGO και Tohnichi, η λειτουργία ransomware TargetCompany εμφανίστηκε τον Ιούνιο του 2021 και έχει επικεντρωθεί σε επιθέσεις βάσεων δεδομένων (MySQL, Oracle, SQL Server) εναντίον οργανισμών κυρίως στην Ταϊβάν, τη Νότια Κορέα, την Ταϊλάνδη και την Ινδία.
Τον Φεβρουάριο του 2022, η εταιρεία προστασίας από ιούς Avast, ανακοίνωσε τη διαθεσιμότητα ενός δωρεάν εργαλείου αποκρυπτογράφησης που κάλυπτε παραλλαγές που είχαν κυκλοφορήσει μέχρι εκείνη την ημερομηνία. Μέχρι τον Σεπτέμβριο ωστόσο, η συμμορία επανήλθε σε τακτική δραστηριότητα στοχεύοντας ευάλωτους διακομιστές SQL της Microsoft και απείλησε τα θύματα με διαρροή κλεμμένων δεδομένων μέσω του Telegram.
Το μέλλον της φιλοξενίας: Το πρώτο 3D-printed ξενοδοχείο
Νέα παραλλαγή Linux
Η εταιρεία κυβερνοασφάλειας Trend Micro λέει ότι η νέα παραλλαγή Linux του ransomware TargetCompany διασφαλίζει ότι έχει δικαιώματα διαχειριστή πριν συνεχίσει την κακόβουλη ρουτίνα της.
Για τη λήψη και την εκτέλεση του ωφέλιμου φορτίου ransomware, ο κακόβουλος παράγοντας χρησιμοποιεί ένα προσαρμοσμένο σενάριο που μπορεί επίσης να διεισδύσει δεδομένα σε δύο ξεχωριστούς διακομιστές, πιθανόν για πλεονασμό σε περίπτωση τεχνικών ζητημάτων με το μηχάνημα ή σε περίπτωση παραβίασης.
Μόλις βρεθεί στο σύστημα προορισμού, το ωφέλιμο φορτίο ελέγχει εάν εκτελείται σε περιβάλλον VMware ESXi, εκτελώντας την εντολή «uname» και αναζητώντας «vmkernel».
Δείτε ακόμα: Η ομάδα Kimsuky αναπτύσσει το νέο Linux backdoor Gomir
Στη συνέχεια, δημιουργείται ένα αρχείο “TargetInfo.txt” και αποστέλλεται στον διακομιστή εντολών και ελέγχου (C2). Περιέχει πληροφορίες θυμάτων όπως όνομα κεντρικού υπολογιστή, διεύθυνση IP, στοιχεία λειτουργικού συστήματος, συνδεδεμένους χρήστες και δικαιώματα, μοναδικά αναγνωριστικά και λεπτομέρειες σχετικά με τα κρυπτογραφημένα αρχεία και καταλόγους. Το ransomware TargetCompany Linux version, θα κρυπτογραφήσει αρχεία που έχουν επεκτάσεις που σχετίζονται με VM (vmdk, vmem, vswp, vmx, vmsn, nvram), προσθέτοντας την επέκταση “.locked” στα αρχεία που προκύπτουν.
Τέλος, εμφανίζει ένα σημείωμα λύτρων με το όνομα “HOW TO DECRYPT.txt“, το οποίο περιέχει οδηγίες για το θύμα σχετικά με τον τρόπο πληρωμής των λύτρων και ανάκτησης ενός έγκυρου κλειδιού αποκρυπτογράφησης.
Μετά την ολοκλήρωση όλων των εργασιών, το σενάριο shell διαγράφει το ωφέλιμο φορτίο χρησιμοποιώντας την εντολή «rm -f x», έτσι ώστε όλα τα ίχνη που μπορούν να χρησιμοποιηθούν σε έρευνες μετά το συμβάν να διαγραφούν από τα επηρεαζόμενα μηχανήματα.
Οι αναλυτές της Trend Micro αποδίδουν τις επιθέσεις που αναπτύσσουν τη νέα παραλλαγή Linux του TargetCompany ransomware σε μια θυγατρική που ονομάζεται “vampire“, η οποία είναι πιθανώς η ίδια με μια αναφορά της Sekoia τον περασμένο μήνα.
Οι διευθύνσεις IP που χρησιμοποιήθηκαν για την παράδοση του ωφέλιμου φορτίου και την αποδοχή του αρχείου κειμένου με τις πληροφορίες του θύματος εντοπίστηκαν σε έναν πάροχο ISP στην Κίνα. Ωστόσο, αυτό δεν αρκεί για τον ακριβή προσδιορισμό της προέλευσης του επιτιθέμενου.
Συνήθως, το TargetCompany ransomware επικεντρώνεται σε μηχανές Windows, αλλά η κυκλοφορία της παραλλαγής Linux και η στροφή σε κρυπτογράφηση μηχανών VMWare ESXi δείχνει την εξέλιξη της λειτουργίας.
Δείτε επίσης: Το Ebury malware botnet έχει μολύνει 400.000 Linux servers
Η προστασία από ransomware, όπως η νέα έκδοση Linux του TargetCompany, είναι μια κρίσιμη πτυχή της κυβερνοασφάλειας που πρέπει να έχει προτεραιότητα για οργανισμούς και άτομα. Αυτή η μορφή κακόβουλου λογισμικού κρυπτογραφεί τα αρχεία ενός θύματος, με τον εισβολέα να απαιτεί πληρωμή για το κλειδί αποκρυπτογράφησης. Οι αποτελεσματικές στρατηγικές προστασίας ransomware περιλαμβάνουν τη διατήρηση ενημερωμένου λογισμικού προστασίας από ιούς, την τακτική δημιουργία αντιγράφων ασφαλείας δεδομένων και την εκπαίδευση των χρηστών σχετικά με την αναγνώριση των προσπαθειών phishing. Επιπλέον, η εφαρμογή ελέγχου ταυτότητας πολλαπλών παραγόντων και η διασφάλιση της έγκαιρης εφαρμογής των ενημερώσεων κώδικα λογισμικού μπορεί να βοηθήσει στον μετριασμό των τρωτών σημείων. Οι οργανισμοί θα πρέπει επίσης να εξετάσουν το ενδεχόμενο χρήσης προηγμένων συστημάτων ανίχνευσης απειλών για την παρακολούθηση και την απόκριση σε ύποπτες δραστηριότητες σε πραγματικό χρόνο.
Πηγή: bleepingcomputer
