https://www.informationsecurity.com.tw/Seminar/2024_TCM/
https://www.informationsecurity.com.tw/Seminar/2024_TCM/

新聞

研究人員警告:Akira勒索軟體出現Linux版

2023 / 06 / 29
編輯部
研究人員警告:Akira勒索軟體出現Linux版
Akira勒索軟體自今年4月出現以來,已經出現超過70名受害者確認,目前受害者遍布美國的各個行業,包括教育、銀行、金融服務、製造業和服務業等。日前安全專家發現Akira勒索軟體具備Linux變體。
 
Akira勒索軟體的Linux可執行檔是一個64位Linux可執行和可連結格式(ELF)檔案。要執行Akira勒索軟體的Linux變體,需要下具體的參數。這些參數包括要加密的檔案或資料夾位置、加密的共用網路磁碟、加密的檔案百分比以及建立一個用於加密的子進程。
  • -p 加密路徑(目標文件/文件夾路徑)
  • -s share_file(目標網路驅動器路徑)
  • -n encryption_percent(加密百分比)
  • fork(子進程用於加密) 
其中 -n 參數特別值得注意,因為它允許攻擊者定義每個文件上加密的數據量。設置越低,加密速度越快,但受害者無需支付贖金就有可能恢復其原始文件。
 
Akira有一個特定檔案類型的清單,這些檔案類型包括各種副檔名,如文檔、資料庫、圖像等。如果一個檔案符合這些副檔名中的任何一個,Akira就可以對該檔案進行加密。

Akira勒索軟體的Linux變體使用不同的對稱金鑰演算法,包括AES、CAMELLIA、IDEA-CB和DES,來執行加密過程。這些演算法有助於擾亂檔案中的資料,使其無法存取。執行後,Akira勒索軟體會載入一個預先確定的RSA公開金鑰來啟動加密過程。同時每個被攻擊的檔都會被附加「.akira 」的檔副檔名,並在受害者的系統中留下贖金資訊。RSA 公鑰會阻止系統管理者對解密密鑰的存取,除非擁有僅由攻擊者持有的 RSA 私有解密密鑰。

據外媒報導,針對 Linux 加密器的分析顯示,Akira的項目名稱為“Esxi_Build_Esxi6”,這表明Akira背後的主使者針對 VMware ESXi 伺服器設計了這個Linux變體。

近幾年,隨著企業轉向使用虛擬機作為伺服器以提高設備管理和資源的效率,越來越多勒索軟體駭客組織設計自定義的Linux 加密器來加密 VMware ESXi 伺服器。不同的是,Akira 的Linux加密器不包含許多進階功能,如使用 esxcli 命令加密文件前自動關閉伺服器功能。

Akira勒索軟體的Linux變種表示網路威脅對Linux系統越來越嚴重。支援Linux 是勒索軟體攻擊的趨勢之一,許多攻擊團體使用現成的工具來做到這一點。使用Linux環境的組織必須保持警惕,並實施有效的安全措施,以防止勒索軟體攻擊。

其他利用 Linux 加密器的勒索軟體攻擊組織(大多數針對 VMware ESXi)包括 Royal、  BlackBasta、  LockBit、  BlackMatter、  AvosLocker、  REvil、  HelloKitty、  RansomEXX和 Hive。

本文轉載自thecyberexpress及bleepingcomputer,圖自Cyble。