Cheerscrypt Ransomware
Một họ ransomware dựa trên Linux mới nhắm mục tiêu vào các máy chủ VMware ESXi đã được các nhà nghiên cứu an ninh mạng phát hiện. Thông tin chi tiết về phần mềm độc hại cụ thể này đã được tiết lộ trong một báo cáo của Trend Micro, theo dõi mối đe dọa là Cheersrypt hoặc Cheers Ransomware. Cần lưu ý rằng đây không phải là nỗ lực thiếu sáng suốt đầu tiên nhằm khai thác các máy chủ ESXi. Trước đây, các họ ransomware như LockBit , Hive và RansomEXX đều đã nhắm mục tiêu vào các hệ thống ESXi, với mục đích tống tiền từ các tổ chức bị ảnh hưởng.
Các doanh nghiệp sử dụng rộng rãi ESXi để tạo và chạy các máy ảo (VM), đồng thời chia sẻ cùng một ổ lưu trữ. Việc các tổ chức thuộc mọi quy mô và vị trí địa lý chấp nhận rộng rãi đã khiến các máy chủ ESXi trở thành mục tiêu béo bở cho các tổ chức tội phạm mạng.
Chi tiết kỹ thuật
Trước khi nó có thể được triển khai đầy đủ trên thiết bị bị nhiễm, Cheerscrypt yêu cầu một tham số đầu vào cụ thể chỉ định đường dẫn chính xác cho mã hóa. Sau đó, mối đe dọa sẽ triển khai và thực thi một lệnh để chấm dứt các quy trình VM hiện đang chạy thông qua ESXCLI. Nó làm như vậy để đảm bảo mã hóa thành công các tệp liên quan đến VMware mà có thể không truy cập được. Rốt cuộc, mối đe dọa nhắm mục tiêu cụ thể vào các tệp có phần mở rộng '.log,' '.vmdk,' '.vmem,' '.vswp' và '.vmsn' '.
Đối với quy trình mã hóa của mình, Cheerscrypt sử dụng sự kết hợp của mật mã dòng SOSEMANUK và ECDH. Các tệp được mã hóa bằng SOSEMANUK, trong khi ECDH chịu trách nhiệm tạo khóa. Mỗi tệp bị khóa sẽ có '.Cheers' được thêm vào tên của nó như một phần mở rộng mới. Một đặc điểm đặc biệt của mối đe dọa là nó sửa đổi tên của các tệp trước khi bắt đầu mã hóa của chúng.
Thông báo đòi tiền chuộc của Cheerscrypt tiết lộ rằng các nhà điều hành tội phạm mạng của nó đang thực hiện một kế hoạch tống tiền kép. Ngoài việc khóa các tập tin của nạn nhân, các tin tặc cũng tuyên bố đã thu thập thông tin bí mật có giá trị từ các hệ thống bị xâm phạm. Nếu yêu cầu của họ không được đáp ứng trong vòng 3 ngày, những kẻ đe dọa sẽ cảnh báo rằng họ sẽ bắt đầu công bố thông tin thu được cho công chúng.
