Cheerscrypt Ransomware
Ново базирано на Linux семейство ransomware, насочено към VMware ESXi сървъри, беше разкрито от изследователи по киберсигурност. Подробности за този конкретен зловреден софтуер бяха разкрити в доклад на Trend Micro, проследяващ заплахата като Cheersrypt или Cheers Ransomware. Трябва да се отбележи, че това не е първият недоброжелателен опит за експлоатиране на ESXi сървъри. Преди това семействата ransomware като LockBit , Hive и RansomEXX са били насочени към ESXi системи с намерението да изнудват пари от засегнатите организации.
Предприятията широко използват ESXi за създаване и стартиране на виртуални машини (VM), като същевременно споделят едно и също устройство за съхранение. Широкото приемане от организации от всякакъв размер и географски местоположения направи сървърите ESXi доходоносна цел за организации на киберпрестъпници.
Технически подробности
Преди да може да бъде напълно разгърнат на заразеното устройство, Cheerscrypt изисква специфичен входен параметър, който определя точния път за криптирането. След това заплахата ще приложи и изпълни команда за прекратяване на текущо работещи VM процеси чрез ESXCLI. Прави това, за да гарантира успешното криптиране на файлове, свързани с VMware, които иначе биха могли да бъдат недостъпни. В крайна сметка заплахата е насочена специално към файлове с разширенията „.log“, „.vmdk“, „.vmem“, „.vswp“ и „.vmsn“.
За своята рутина за криптиране, Cheerscrypt използва комбинация от поточен шифър SOSEMANUK и ECDH. Файловете са криптирани със SOSEMANUK, докато ECDH отговаря за генерирането на ключа. Всеки заключен файл ще има добавено '.Cheers' към името си като ново разширение. Специфична характеристика на заплахата е, че променя имената на файловете, преди да започне тяхното криптиране.
Бележката за откуп на Cheerscrypt разкрива, че нейните киберпрестъпни оператори изпълняват схема за двойно изнудване. Освен че са заключили досиетата на жертвите си, хакерите твърдят, че са събрали ценна поверителна информация от взломените системи. Ако исканията им не бъдат изпълнени в рамките на 3 дни, заплахите предупреждават, че ще започнат да публикуват получената информация пред обществеността.
