Cheerscrypt Ransomware
Μια νέα οικογένεια ransomware που βασίζεται σε Linux και στοχεύει διακομιστές VMware ESXi αποκαλύφθηκε από ερευνητές στον τομέα της ασφάλειας στον κυβερνοχώρο. Λεπτομέρειες σχετικά με το συγκεκριμένο κακόβουλο λογισμικό αποκαλύφθηκαν σε μια αναφορά της Trend Micro, παρακολουθώντας την απειλή ως Cheersrypt ή Cheers Ransomware. Θα πρέπει να σημειωθεί ότι αυτή δεν είναι η πρώτη κακοπροαίρετη προσπάθεια εκμετάλλευσης διακομιστών ESXi. Προηγουμένως, οικογένειες ransomware όπως το LockBit , το Hive και το RansomEXX είχαν στοχεύσει όλα τα συστήματα ESXi, με σκοπό να εκβιάσουν χρήματα από τους επηρεαζόμενους οργανισμούς.
Οι επιχειρήσεις χρησιμοποιούν ευρέως το ESXi για τη δημιουργία και τη λειτουργία εικονικών μηχανών (VM), ενώ μοιράζονται τον ίδιο χώρο αποθήκευσης δίσκου. Η ευρεία υιοθέτηση από οργανισμούς όλων των μεγεθών και γεωγραφικών τοποθεσιών έχει καταστήσει τους διακομιστές ESXi έναν επικερδή στόχο για τις κυβερνοεγκληματικές οργανώσεις.
Τεχνικές λεπτομέρειες
Για να μπορέσει να αναπτυχθεί πλήρως στη μολυσμένη συσκευή, το Cheerscrypt απαιτεί μια συγκεκριμένη παράμετρο εισαγωγής που καθορίζει την ακριβή διαδρομή για την κρυπτογράφηση. Στη συνέχεια, η απειλή θα εφαρμόσει και θα εκτελέσει μια εντολή για τον τερματισμό των διεργασιών VM που εκτελούνται αυτήν τη στιγμή μέσω ESXCLI. Αυτό το κάνει για να διασφαλίσει την επιτυχή κρυπτογράφηση αρχείων που σχετίζονται με το VMware, τα οποία διαφορετικά ενδέχεται να μην είναι προσβάσιμα. Εξάλλου, η απειλή στοχεύει συγκεκριμένα αρχεία με τις επεκτάσεις ".log", ".vmdk", ".vmem", ".vswp" και ".vmsn".
Για τη ρουτίνα κρυπτογράφησης, το Cheerscrypt χρησιμοποιεί έναν συνδυασμό του κρυπτογράφησης ροής SOSEMANUK και του ECDH. Τα αρχεία κρυπτογραφούνται με το SOSEMANUK, ενώ το ECDH είναι υπεύθυνο για τη δημιουργία του κλειδιού. Κάθε κλειδωμένο αρχείο θα έχει το '.Cheers' προσαρτημένο στο όνομά του ως νέα επέκταση. Ένα ιδιαίτερο χαρακτηριστικό της απειλής είναι ότι τροποποιεί τα ονόματα των αρχείων πριν ξεκινήσει η κρυπτογράφηση τους.
Το σημείωμα λύτρων της Cheerscrypt αποκαλύπτει ότι οι χειριστές του κυβερνοεγκληματίες εφαρμόζουν ένα σχέδιο διπλής εκβιασμού. Εκτός από το κλείδωμα των αρχείων των θυμάτων τους, οι χάκερ ισχυρίζονται επίσης ότι έχουν συλλέξει πολύτιμες εμπιστευτικές πληροφορίες από τα παραβιασμένα συστήματα. Εάν τα αιτήματά τους δεν ικανοποιηθούν εντός 3 ημερών, οι φορείς απειλών προειδοποιούν ότι θα αρχίσουν να δημοσιεύουν τις πληροφορίες που αποκτήθηκαν στο κοινό.
