Nieuwste Ryuk Ransomware-versie spaart Linux-mappen

Op 13 december gebruikten cybercriminelen een versie van Ryuk Ransomware bij de aanval op de stad New Orleans . De aanval resulteerde in het afsluiten van de servers van de stad, uitgebreide quarantaine-inspanningen en de burgemeester die de noodtoestand verklaarde. De stad New Orleans is toegevoegd aan de lijst van meer dan honderd federale, provinciale en gemeentelijke overheden en agentschappen die ten prooi zijn gevallen aan ransomware-aanvallen in de VS in 2019. Met name de Ryuk Ransomware is gebruikt in honderden aanvallen op particuliere en overheidsentiteiten met wisselend succes.

De versie van Ryuk Ransomware die de netwerken van de stad New Orleans heeft besmet, lijkt relatief nieuw te zijn. Beveiligingsonderzoeker Vitali Kremez ontdekte een nieuw kenmerk van deze iteratie van de ransomware - het codeert opzettelijk * nix systeemgerelateerde mappen niet.

Hier is een lijst met mappen die niet zijn opgenomen in de zwarte lijst van vorige versies:

• bak
• bagageruimte
• Bagageruimte
• dev
• enz
• initrd
• lib
• rennen
• sbin
• sys
• vmlinuz
• var

Ryuk Ransomware heeft geen speciale versie voor Linux-systemen. De reden voor het opnemen van de * nix-mappen in de zwarte lijst voorkomt waarschijnlijk interferentie met Linux-distributies geïnstalleerd op Windows 10. Windows 10's Windows Subsysteem voor Linux maakt het mogelijk om Linux-distributies in een Windows-omgeving uit te voeren.

Uiteindelijk is het doel van deze wijziging waarschijnlijk een toename van de uitbetalingsresultaten. Eerdere versies die * nix-mappen codeerden, hadden bepaalde systemen onbruikbaar kunnen maken waardoor het slachtoffer het losgeld niet kon betalen of zelfs kon voorkomen. Het zou zich ook vertalen in minder werk voor de criminelen in het geval ze de gegevens van een slachtoffer moeten decoderen.

De stad New Orleans heeft nooit losgeld geëist. Ze verklaarden ook dat gegevensverlies door de cyberaanval "zeer minimaal" was en er geen losgeld was betaald. Er zijn geen updates over onderzoeken naar het incident geweest. Informatie over de kosten van het herstelproces is momenteel ook niet beschikbaar. Of de cybercriminelen deze aanval als een succes of een mislukking zien, het is onwaarschijnlijk dat dit de laatste is die we over de Ryuk Ransomware horen. Criminelen hebben het gebruikt in een groot aantal aanvallen in de relatief korte periode sinds Ryuk voor het eerst in augustus 2018 verscheen. Met Ryuk en andere ransomware-bedreigingen die steeds populairder worden en samen met aanvallers worden gebruikt, richten ze zich op specifieke organisaties en instanties, het belang van het ontwikkelen en onderhouden van solide oplossingen voor cyberbeveiliging en onvoorziene omstandigheden kan niet genoeg worden benadrukt.