Play Ransomware, VMware ESXI sanal makinelerini şifrelemek için özel bir Linux dolabını dağıtmaya başlayan en son fidye yazılımı çetesidir.
Analistleri yeni fidye yazılımı varyantını tespit eden siber güvenlik şirketi trend micro, dolabın önce ESXI ortamında çalışıp çalışmadığını ve Linux sistemlerinde algılamadan kaçabileceğini kontrol etmek için tasarlandığını söylüyor.
Trend Micro, "Bu, ESXI ortamlarını hedefleyen fidye yazılımlarını ilk kez gözlemledik." Dedi.
Diyerek şöyle devam etti: "Bu gelişme, grubun saldırılarını Linux platformunda genişletebileceğini ve genişletilmiş bir kurban havuzuna ve daha başarılı fidye müzakerelerine yol açabileceğini gösteriyor."
Bu, yıllardır bilinen bir eğilim olmuştur, çoğu fidye yazılımı grubu, işletmeler bunları veri depolamak için kullanmaya ve çok daha verimli kaynak işlemeleri nedeniyle kritik uygulamaları barındırdıktan sonra ESXI sanal makinelere odaklanmaktadır.
Bir kuruluşun ESXI VM'lerini devirmek, büyük iş operasyonlarının kesintilerine ve kesintilerine yol açarken, dosyaları ve yedeklemeleri şifrelemek, kurbanların etkilenen verileri kurtarma seçeneklerini büyük ölçüde azaltır.
Bu oyun fidye yazılımı örneğini araştırırken, Trend Micro ayrıca fidye yazılımı çetesinin üretken Puma olarak izlenen bir tehdit aktörü tarafından sağlanan URL-kısırlaştırıcı hizmetleri kullandığını buldu.
Başarılı bir şekilde başlatıldıktan sonra, Fidye Yazılımı Linux örnekleri, uzlaşmış ortamda bulunan tüm VM'leri tarar ve kapatır ve dosyaları (örn. VM disk, yapılandırma ve meta veri dosyaları) şifrelemeye başlar ve her dosyanın sonuna .play uzantısını ekler.
Şifrelenebilmeleri için tüm çalışan VMware ESXI Sanal Makineleri'ni kapatmak için Micro, şifrelemenin aşağıdaki kodu yürüteceğini söylüyor:
BleepingComputer'ın analiz ederken bulunduğu gibi, bu varyant, VMware'in VSphere Server Sanallaştırma Suit tarafından kullanılan VMF'leri (Sanal Makine Dosyası Sistemi) özellikle hedeflemek için tasarlanmıştır.
Ayrıca, ESXI istemcisinin giriş portalında (ve VM yeniden başlatıldıktan sonra konsol) görüntülenecek olan VM'nin kök dizinine bir fidye notu bırakacaktır.
Haziran 2022'de fidye yazılımları ortaya çıktı ve ilk kurbanlar BleepingComputer'ın forumlarında yardım için uzanıyor.
Operatörleri, kurbanları çevrimiçi olarak çalınan verileri sızdırma tehdidi altında fidye ödemeleri için baskı yapmak için çift genişlemeli saldırılarda kullandıkları tehlikeli belgelerden hassas belgeleri çaldığı bilinmektedir.
Yüksek profilli oyun fidye yazılımı kurbanları arasında bulut bilişim şirketi Rackspace, Kaliforniya'daki Oakland Şehri, otomobil perakendecisi devi Arnold Clark, Belçika şehri Antwerp ve Dallas County yer alıyor.
Aralık ayında FBI, CISA ve Avustralya Siber Güvenlik Merkezi (ACSC) ile ortak bir danışmanlıkta fidye yazılımı çetesinin Ekim 2023'e kadar dünya çapında yaklaşık 300 kuruluşu ihlal ettiği konusunda uyardı.
Üç devlet kurumu, savunuculara mümkün olan her yerde çok faktörlü kimlik doğrulamasını etkinleştirmelerini, çevrimdışı yedeklemeleri sürdürmelerini, bir kurtarma planını uyguladıklarını ve tüm yazılımları güncel tutmasını tavsiye etti.
TargetCompany fidye yazılımının Linux sürümü VMware ESXI'ye odaklanıyor
Sexi fidye yazılımı APT Inc'e yeniden markalar, VMware ESXI saldırılarına devam ediyor
Dallas County: 2023 fidye yazılımı saldırısında maruz kalan 200.000 veriler
RansomHub Fidye Yazılımı Hedefleri VMware ESXI VMS'nin Linux sürümü
UNC3886 Hackerlar, VMware ESXI VMS'yi gizlemek için Linux rootkits kullanır
Kaynak: Bleeping Computer