Ransomware em Linux Como proteger a sua empresa

QNAPCrypt

Este ataque foca em dispositivos de armazenamento conectados à rede baseados em Linux (NAS). Sua distribuição geralmente é feita através de arquivos infectados, incluindo arquivos ZIP.

O ponto de entrada do QNAPCrypt é uma autenticação falha de um proxy SOCKS5 (alternativa à VPN que protege pilhas de dados durante a transferência) e tem baixo índice de detecção. Depois que um sistema é comprometido, o malware solicita uma carteira de bitcoin e uma chave RSA pública do servidor do cibercriminoso antes de criptografar os dados da vítima.

Após a conclusão da criptografia, a nota do sequestro é deixada em um arquivo .txt. Cada vítima recebe uma carteira bitcoin onde deve fazer o pagamento do resgate, o que evita a detecção do criminoso.

RansomEXX

Nos últimos anos, o RansomEXX, também conhecido como Defrat777, tornou-se uma das formas mais comuns de ransomware para dispositivos Linux. No começo, ele era um malware destinado apenas a Windows, mas passou cada vez mais a ser utilizado também em ataques a servidores Linux, com destaque a ações contra o governo brasileiro, o Departamento de Trânsito do Texas (EUA) e o Hospital Universitário de Brno, na República Tcheca.

Esse tipo de ransomware é conhecido como big-game hunter (caçador maior), termo utilizado para comparar a ação com a caça de animais de alto valor comercial. No contexto dos ransomwares, isso significa que o malware é utilizado para atacar governos e grandes organizações na tentativa de garantir o recebimento de grandes somas em dinheiro. Ao invés de atacar diferentes terminais, o malware mira no servidor, restringindo o acesso a arquivos diretamente na fonte. Isso torna os servidores Linux um dos principais alvos deste tipo de ataque.

O RansomEXX é tipicamente entregue por um e-mail contendo um documento Word malicioso. Depois de aberto, um cavalo de Troia é baixado no sistema do usuário, levando à criptografia de arquivos e à geração de uma chave de criptografia de 256 bits. A partir de então, a chave é criptografada novamente a cada segundo.

Erebus

O Erebus foi visto pela primeira vez em 2016 como um ransomware baseado em Windows. Sua primeira ação contra os sistemas Linux foi em 2017 em um grande ataque à empresa de hospedagem de sites NAYAMA, na Coreia do Sul. Na ocasião, 153 servidores Linux e mais de 3,4 mil sites foram afetados. Na época, o resgate de 1 milhão de dólares em bitcoins foi o mais alto já pago até aquele momento.

O Erebus depende do clique do usuário em links maliciosos ou da abertura de anexos de e-mails infectados. Ele também pode ganhar acesso ao sistema por meio de softwares maliciosos, como programas de instalação falsos.

O ransomware analisa uma ampla variedade de tipos de arquivos para criptografar bancos de dados, arquivos e documentos. A quebra do processo de criptografia utilizado pelo ransomware é complicada, pois utiliza uma mistura de três tipos diferentes de codificação: o RSA-2048, o AES e o RC4. O ransomware também exclui o Volume Shadow Copies do sistema operacional, dificultando ainda mais a recuperação dos arquivos.

KillDisk

O KillDisk é outro ransomware que começou a atacar o Windows antes de ir para o Linux. A versão para Linux do KillDisk criptografa cada arquivo com um conjunto de diferentes chaves de criptografia de 64 bits. Depois ele impede que os sistema seja reinicializado sobrescrevendo o bootloader ao invés de apresentar uma nota de sequestro em tela cheia exigindo o pagamento de um resgate em bitcoin.

A versão para Linux do KillDisk é diferente da versão para Windows. Nela, as chaves necessárias para a descriptografia de dados não são armazenadas localmente ou enviadas a um servidor durante um ataque ao sistema Linux, o que significa que, provavelmente, a chave de criptografia foi codificada para causar danos ao invés de extorquir. Se não há nenhuma chave de criptografia disponível, é improvável que os arquivos sejam recuperados, independentemente do pagamento do resgate.