CD Projekt Red'e yapılan çok ilan edilen saldırıların arkasındaki fidye yazılım çetesi, VMware'in ESXI sanal makine platformunu maksimum hasar için hedefleyen bir Linux varyantı kullanır.
Kuruluş, daha kolay yedekleme ve kaynak yönetimi için sanal makinelere giderek daha fazla hareket ettiğinden, Ransomware çeteleri bu sunucuları hedefleyen Linux şifreleme oluşturmak için taktiklerini geliştirmektedir.
VMware ESXI, en popüler kurumsal sanal makine platformlarından biridir. Geçen yıl boyunca, bu platformu hedef alan Linux şifrelemelerini serbest bırakan artan sayıda fidyeware çetesi olmuştur.
ESXI, kendi müşteri çekirdeğini kullandığı için kesinlikle Linux olmasa da, ELF64 Linux çalıştırımlarını çalıştırma yeteneği de dahil olmak üzere birçok benzer özelliği paylaşır.
Dün, güvenlik araştırmacısı MalwarehunterTeam, ESXI sunucularını ve üzerinde çalışan sanal makineleri hedefleyen Hellokitty Ransomware'in sayısız Linux Elf64 versiyonunu buldu.
Hellokitty'nin bir Linux şifreleme kullandığı bilinmektedir, ancak bu araştırmacıların kamuya açık bir şekilde gördüğü ilk örnek.
Henüz bahsetmedi, bu yüzden yapmama izin ver: Hellokitty Ransomware'in Linux versiyonu zaten VMS ... @ vk_intel @ demonslay335 pic.twitter.com/atsv0oo7yl
Malwarehunterteam, BleepingComputer ile fidye yazılımının örneklerini paylaştı ve ESXI ve Ransomware'in çalışan sanal makineleri kapatma girişimlerini referanslandıran dizeleri açıkça görebilirsiniz.
Hata ayıklama mesajlarından, fidye yazılımının sunucudaki çalıştıran sanal makineleri listelemek için ESXI'nin ESXCLI komut satırı yönetimi aracını kullandığını görebiliriz ve ardından kapatın.
Ransomware Çeteler ESXI sunucularını hedefleyen, dosyaların kilitlenmesini önlemek ve veri bozulmalarını önlemek için dosyaları şifrelemeden önce sanal makineleri kapatacaktır.
Bazı Darkside İştirakleri, şifrelemeyi atmadan önce tüm ESXI Daemonlarını durdurmayı unutma eğilimindedir. Sonuç, bazen şifrelenmiş verilerin şifrelenmemiş verilerle etkileşime girebileceği veya dosya tuşunu içeren altbilginin kısmen üzerine yazılmasıdır. Aynı sonuç.
Sanal makineleri kapatırken, Ransomware ilk önce 'Soft' komutunu kullanarak zarif bir kapatma dener:
Hala VMS çalışıyorsa, 'Sert' komutunu kullanarak sanal makinelerin derhal kapatılmasını deneyecek:
Son olarak, sanal makineler hala çalışıyorsa, kötü amaçlı yazılım, çalışan VMS'yi zorla kapatmak için 'Kuvvet' komutunu kullanır.
Sanal makineler kapandıktan sonra, Ransomware, .vmdk (sanal sabit disk), .VMSD (meta veri ve anlık görüntü bilgileri) ve .VMSN (VM'nin aktif durumunu içerir) dosyalarının şifrelenmesine başlayacaktır.
Bu yöntem, bir fidyeware çetesinin birçok sanal makineyi tek bir komutla şifrelemesine izin verdiği için çok verimlidir.
Geçen ay, MalwarehunterTeam, ESXI sunucularını hedef alan ve ESXCLI komutunu şifreleme işleminin bir parçası olarak kullanan tekrar Ransomware'in Linux versiyonunu buldu.
Emsisoft CTO Fabian Wosar, BleepingComputer'a, Babuk, Ransomexx / Defray, Mespinoza, Gogoogle gibi diğer fidye yazılımı operasyonlarının ve şimdi feshedilen darkside olduğu zaman, ESXI sanal makineleri hedeflemek için Linux şifreleme düzenlemişlerini de söyledi.
Wosar, "Çoğu Ransomware grubunun Ransomware'in Linux tabanlı bir versiyonunu uygulamasının nedeni, ESXI'yi özellikle hedeflemektir" dedi.
Hello Kitty, bir kurban forumlarımızdaki fidye yazılımı hakkında ilk yayınlandığında 2020 Kasım'dan bu yana faaliyette bulunmaktadır.
O zamandan beri, tehdit aktörleri, diğer insan tarafından işletilen fidye yazılımı operasyonlarına göre aktif olarak aktif olmamıştır.
En iyi bilinen saldırıları, tehdit aktörlerinin cihazların şifrelendiği ve Cyberpunk 2077, Witcher 3, Gwent ve daha fazlası için çalınan kaynak kodu olduğunu iddia ettiği CD Projekted Red'e karşı olmuştur.
Tehdit aktörleri daha sonra, birinin çalınan dosyaları CD projekti kırmızıdan satın aldığını iddia etti.
Bu fidye yazılımı veya varyantları, Deathransom ve Fivands gibi farklı isimler altında kullanılmıştır.
Yeniden Ransomware'nin Yeni Linux Şifreleme ESXI Sanal Makineleri Hedefler
CD Projekt Kırmızı CyberAttack, Veri Hırsızlığı Arkasında Hellokitty Ransomware
Ransomware'i kendi bilgisayarımda patlatmak (bunu evde denemeyin)
CD Projekt: Ransomware Saldırı'nda Çalınan Veri Şimdi Dolaşan Çevrimiçi
Yeni Ransomware grubu, ağları ihlal etmek için SONICWALL Sıfır Günü kullanıyor
Kaynak: Bleeping Computer