Linux-ransomware: Hoe u uw bedrijf beschermt

QNAPCrypt

Deze aanval richt zich op Linux-gebaseerde NAS-apparaten (Network-Attached Storage). De verspreiding gebeurt meestal via valse updates en geïnfecteerde bestanden, waaronder ZIP-archieven.

Het ingangspunt van QNAPCrypt zijn fouten in de verificatie van een SOCKS5-proxy (een alternatief voor een VPN dat gegevenspakketten beschermt tijdens de overdracht). De detectiegraad is laag. Zodra een systeem is aangetast, vraagt de malware een bitcoin-portemonnee en een openbare RSA-sleutel op van de server van de hacker, waarna de gegevens van het slachtoffer worden versleuteld.

Zodra de versleuteling is voltooid, wordt een losgeldbericht achtergelaten in de vorm van een tekstbestand. Elk slachtoffer krijgt een unieke bitcoin-portemonnee om het losgeld te betalen. Op die manier hopen de aanvallers detectie te voorkomen.

RansomEXX

RansomEXX (ook bekend als Defrat777) is de afgelopen jaren uitgegroeid tot een van de meest voorkomende vormen van ransomware op Linux-apparaten. Het begon als Windows-malware, maar wordt steeds vaker gebruikt om Linux-servers aan te vallen. Er zijn onder andere aanvallen uitgevoerd op de Braziliaanse overheid, het ministerie van Vervoer in Texas en het universitaire ziekenhuis van Brno in Tsjechië.

Dit type ransomware staat bekend als een "jager op groot wild" en wordt vaak gebruikt om grote organisaties en overheden aan te vallen in een poging om grote sommen losgeld binnen te hengelen. In plaats van meerdere eindpunten aan te vallen, beperkt de malware de toegang tot bestanden op de server. Daarmee vormen Linux-servers een belangrijk doelwit voor dit soort aanvallen.

RansomEXX wordt meestal afgeleverd via een e-mail met een schadelijk Word-document. Wanneer de gebruiker dit opent, wordt er een Trojaans paard gedownload op diens systeem. Daarmee worden bestanden versleuteld en wordt een 256-bits encryptiesleutel gegenereerd. Vervolgens wordt de sleutel elke seconde opnieuw versleuteld.

Erebus

Erebus werd in 2016 voor het eerst gezien op Windows-systemen. Het werd in 2017 voor het eerst tegen Linux-systemen gebruikt in het kader van een geruchtmakende aanval op het Zuid-Koreaanse webhostingbedrijf NAYANA. Daarbij werden 153 Linux-servers en meer dan 3400 bedrijfswebsites getroffen. Het losgeld van 1 miljoen dollar in bitcoins vestigde destijds een record voor het hoogst betaalde bedrag.

Erebus vertrouwt erop dat de gebruiker op schadelijke koppelingen klikt of geïnfecteerde e-mailbijlagen opent. Daarnaast maakt het gebruik van schadelijke software, zoals valse installatieprogramma's, om zich toegang te verschaffen tot systemen.

De ransomware scant een tal van verschillende bestandstypen om te versleutelen, waaronder databases, archieven en documenten. Het gebruikte versleutelingsproces is moeilijk te kraken, omdat het gebruikmaakt van een mix van drie verschillende cryptosystemen (RSA-2048, AES en RC4). Daarnaast verwijdert de ransomware volumeschaduwkopieën van het besturingssysteem, waardoor het herstel verder wordt bemoeilijkt.

KillDisk

KillDisk is een andere ransomwarevariant die zijn leven begon op Windows en pas later werd aangepast aan Linux. De Linux-versie van KillDisk versleutelt elk bestand met een andere set 64-bits encryptiesleutels. Het voorkomt vervolgens dat het systeem wordt opgestart door de bootloader te overschrijven. In plaats daarvan krijgt de gebruiker een schermvullend losgeldbericht te zien waarin betaling in bitcoins wordt geëist.

De Linux-versie van KillDisk verschilt van de Windows-versie: De sleutels die nodig zijn om de gegevens te ontsleutelen worden niet lokaal opgeslagen of naar een server gestuurd tijdens een Linux-aanval. Dit wijst erop dat de encryptietool hoogstwaarschijnlijk is geschreven om zoveel mogelijk schade aan te richten en niet zozeer voor afpersingsdoeleinden. Als er geen encryptiesleutel bestaat, is het onwaarschijnlijk dat de bestanden ooit worden hersteld, ongeacht of het losgeld wordt betaald.