Cheerscrypt Ransomware
Kibernetinio saugumo tyrinėtojai atskleidė naują Linux pagrindu sukurtą išpirkos reikalaujančių programų šeimą, skirtą VMware ESXi serveriams. Išsami informacija apie šią kenkėjišką programą buvo atskleista Trend Micro ataskaitoje, kurioje grėsmė buvo stebima kaip Cheersrypt arba Cheers Ransomware. Reikėtų pažymėti, kad tai ne pirmas netinkamas bandymas išnaudoti ESXi serverius. Anksčiau išpirkos reikalaujančių programų šeimos, tokios kaip LockBit , Hive ir RansomEXX , buvo nukreiptos į ESXi sistemas, siekdamos išvilioti pinigus iš nukentėjusių organizacijų.
Įmonės plačiai naudoja ESXi virtualiosioms mašinoms (VM) kurti ir paleisti, kartu dalindamosi ta pačia disko saugykla. Dėl plataus pritaikymo įvairaus dydžio ir geografinės vietos organizacijose ESXi serveriai tapo pelningu kibernetinių nusikaltėlių organizacijų taikiniu.
Techninės detalės
Kad būtų galima visiškai įdiegti užkrėstame įrenginyje, Cheerscrypt reikalauja konkretaus įvesties parametro, kuris nurodo tikslų šifravimo kelią. Vėliau grėsmė įdiegs ir vykdys komandą, kad nutrauktų šiuo metu vykdomus VM procesus per ESXCLI. Tai daroma siekiant užtikrinti sėkmingą su VMware susijusių failų, kurie kitu atveju galėtų būti nepasiekiami, šifravimą. Galų gale, grėsmė konkrečiai nukreipta į failus su plėtiniais „.log“, „.vmdk“, „.vmem“, „.vswp“ ir „.vmsn“.
Šifravimo rutinai Cheerscrypt naudoja SOSEMANUK srauto šifro ir ECDH derinį. Failai šifruojami naudojant SOSEMANUK, o ECDH yra atsakinga už rakto generavimą. Prie kiekvieno užrakinto failo pavadinimo bus pridėtas „.Cheers“ kaip naujas plėtinys. Ypatinga grėsmės savybė yra ta, kad ji pakeičia failų pavadinimus prieš pradedant jų šifravimą.
„Cheerscrypt“ išpirkos raštas atskleidžia, kad jos kibernetinių nusikaltėlių operatoriai vykdo dvigubo turto prievartavimo schemą. Be to, kad užrakino savo aukų failus, įsilaužėliai taip pat teigia surinkę vertingos konfidencialios informacijos iš pažeistų sistemų. Jei jų reikalavimai nebus patenkinti per 3 dienas, grėsmės veikėjai įspėja, kad gautą informaciją pradės skelbti visuomenei.
