Raziskovalci so opozorili na novo izsiljevalsko programsko opremo DarkRadiation
Trend Micro strokovnjaki za kibernetsko varnost opozoril nove izsiljevalske programske opreme, imenovane DarkRadiation. Zlonamerna programska oprema je zasnovana za napad na distribucije Red Hat/CentOS in Debian Linux. Za komunikacijo s C&C strežnik, napadalci uporabljajo messenger Telegram.
Zlonamerna programska oprema uporablja AES (Napredni standard šifriranja) algoritem simetričnega blokovnega šifriranja z načinom CBC za šifriranje datotek v različnih imenikih. V sedanjem času, ni podatkov o uporabljenih metodah za širjenje zlonamerne programske opreme, in ni dokazov, da je bila v dejanskih napadih uporabljena izsiljevalska programska oprema.
Informacije so bile pridobljene kot rezultat analize nabora hekerskih orodij, ki gostujejo v infrastrukturi neznanega napadalca v imeniku api_attack.. Mapa api_attack je vsebovala več različic DarkRadiation in črva SSH (downloader.sh) odgovoren za širjenje zlonamerne programske opreme.
Izsiljevalska programska oprema je v aktivnem razvoju, za namen zakrivanja uporablja odprtokodno orodje node-bash-obfuscate, ki vam omogoča, da kodo razdelite na več fragmentov, nato vsakemu segmentu dodelite ime spremenljivke in zamenjajte izvirni skript s sklici na spremenljivke.
DarkRadiation preveri, ali je bil zagnan kot root, in uporablja povišana dovoljenja za prenos in namestitev Wget, knjižnici cURL in OpenSSL. Programska oprema občasno zbira tudi informacije o uporabnikih, prijavljenih v sistem Unix z uporabo “WHO” ukaz vsakih pet sekund. Podatki se nato prenesejo na strežnik, ki ga nadzoruje napadalec z uporabo API-ja Telegram.
Na zadnji stopnji napada, zlonamerna programska oprema ustvari seznam vseh razpoložljivih uporabnikov v ogroženem sistemu, prepiše obstoječa gesla z megageslom in izbriše vse uporabnike lupine, preden ustvarite novega uporabnika ferrum in geslo MegPw0rD3 za nadaljevanje postopka šifriranja.
DarkRadiation tudi onemogoči vse delujoče vsebnike Docker v okuženem sistemu in ustvari obvestilo o odkupnini. Po mnenju strokovnjakov, izsiljevalska programska oprema doda radioaktivne znake (.☢) kot razširitev šifrirane datoteke.
DarkRadiation vsebuje funkcijo install_tools za prenos in namestitev potrebnih pripomočkov v okuženi sistem, če še niso nameščeni. Črv prenese in namesti samo potrebne pakete za distribucijo Linuxa, ki temelji na CentOS ali RHEL, ker uporablja samo Yellowdog Updater, Spremenjeno (Njam) upravitelj paketov.
Naj vas spomnim, da sem govoril tudi o tem, da Nenavadna zlonamerna programska oprema žrtvam preprečuje obisk piratskih spletnih mest.
