IceFire Ransomware מבשר על מעבר רחב יותר מ-Windows ללינוקס

בשבועות האחרונים, האקרים פורסים את תוכנת הכופר "IceFire" נגד רשתות ארגוניות של לינוקס, שינוי ידוע למה שהיה פעם תוכנה זדונית של Windows בלבד.

A דיווח מ-SentinelOne שפורסם היום מצביע על כך שזה עשוי לייצג מגמה מתחילה. שחקני כופר כבר היו מיקוד למערכות לינוקס יותר מאי פעם ב מתקפות סייבר בשבועות האחרונים וחודשים, בולט לא מעט משום ש"בהשוואה ל-Windows, לינוקס קשה יותר לפרוס תוכנות כופר נגדן, במיוחד בקנה מידה", אומר אלכס דלמוטה, חוקר אבטחה ב-SentinelOne, ל-Dark Reading.

אבל מדוע, אם לינוקס מקשה על עבודתם, האם שחקני תוכנת כופר ילכו יותר ויותר לקראתה?

ה- IceFire MO

IceFire, שהתגלה לראשונה במרץ האחרון, היא תוכנת כופר בתעריף סטנדרטי המותאמת למשפחות אחרות של "ציד משחק גדול" (BGH)", כתב Delamotte. תוכנת הכופר של BGH מאופיינת ב"סחיטה כפולה, התמקדות בארגונים גדולים, שימוש במנגנוני התמדה רבים, והתחמקות מניתוח על ידי מחיקת קובצי יומן."

אבל במקום שבו IceFire היה פעם תוכנה זדונית מבוססת Windows בלבד, ההתקפות האחרונות שלה התרחשו נגד רשתות ארגוניות מבוססות לינוקס.

זרימת ההתקפה היא פשוטה. לאחר שפרצו רשת יעד, תוקפי IceFire גונבים עותקים של כל מידע בעל ערך או מידע מעניין אחר במכונות המטרה. רק אז מגיעה ההצפנה. מה ש- IceFire מחפש בעיקר הם ספריות משתמשים וספריות משותפות, שכן אלו הם חלקים חשובים אך לא מוגנים של מערכת הקבצים שאינם דורשים הרשאות מוגברות לכתיבה או שינוי", הסביר דלמוטה.

עם זאת, התוקפים נזהרים. "תוכנת הכופר של IceFire אינה מצפינה את כל הקבצים בלינוקס: היא נמנעת מהצפנת נתיבים מסוימים, כך שחלקים קריטיים של המערכת אינם מוצפנים ונשארים פעילים."

IceFire מתייג קבצים מוצפנים עם סיומת ".fire", כפי שמנהלי IT רבים גילו מאז בעצמם. זה גם מוריד אוטומטית פתק כופר ללא סלסולים - "כל הקבצים החשובים שלך הוצפנו. כל ניסיון לשחזר את הקבצים שלך...". ההערה כוללת שם משתמש וסיסמה ייחודיים עם קידוד קשיח שבהם הקורבן יכול להשתמש כדי להיכנס לפורטל תשלום הכופר המבוסס על Tor של התוקפים. לאחר השלמת העבודה, IceFire מוחק את עצמו.

איך IceFire משתנה

רוב הפרטים הללו נשארו עקביים מאז הכניסה הראשונה של IceFire לזירה. עם זאת, כמה פרטים חשובים השתנו בשבועות האחרונים, כולל הוויקטימולוגיה.

היכן ש- IceFire שימש בעבר בעיקר בקמפיינים נגד מגזרי הבריאות, החינוך והטכנולוגיה, ההתקפות האחרונות התמקדו סביב ארגוני בידור ומדיה, בעיקר במדינות המזרח התיכון - איראן, פקיסטן, טורקיה, איחוד האמירויות הערביות וכן הלאה.

שינויים אחרים ב-MO של IceFire נובעים מהמעבר של מערכת ההפעלה שלו לכיוון לינוקס. לדוגמה, SentinelOne ציין את זה בעבר תוקפי סייבר יפיצו את IceFire באמצעות דיוג ודוא"ל דיוג בחנית, ולאחר מכן השתמש בכלי בדיקת עט של צד שלישי כמו Metasploit ו-Cobalt Strike כדי לעזור לה להתפשט.

אבל "מערכות לינוקס רבות הן שרתים", מציין דלמוטה, "לכן וקטורי זיהום טיפוסיים כמו דיוג או הורדה של Drive-by הם פחות יעילים." אז במקום זאת, התקפות IceFire האחרונות ניצלו CVE-2022-47986 - פגיעות קריטית של ביצוע קוד מרחוק (RCE) בשירות העברת הנתונים של IBM Aspera, עם דירוג CVSS של 9.8.

מדוע האקרים מכוונים ללינוקס

Delamotte מציג כמה סיבות מדוע יותר שחקני תוכנות כופר בוחרים בלינוקס לאחרונה. דבר אחד, היא אומרת, "מערכות מבוססות לינוקס משמשות לעתים קרובות בהגדרות ארגוניות לביצוע משימות חיוניות כמו אירוח מסדי נתונים, שרתי אינטרנט ויישומים קריטיים אחרים. כתוצאה מכך, מערכות אלו הן לעתים קרובות יעדים בעלי ערך רב יותר עבור שחקני תוכנת כופר, בשל האפשרות לתשלום גדול יותר כתוצאה מהתקפה מוצלחת, בהשוואה למשתמש Windows טיפוסי".

גורם שני, היא מנחשת, "הוא שכמה שחקני תוכנת כופר עשויים לתפוס את לינוקס כשוק לא מנוצל שיכול להניב החזר גבוה יותר על ההשקעה".

לבסוף, "השכיחות של טכנולוגיות קונטיינריזציה ווירטואליזציה בסביבות ארגוניות הרחיבה את משטח ההתקפה הפוטנציאלי עבור שחקני תוכנת כופר", היא אומרת. רבות מהטכנולוגיות הללו מבוססות על לינוקס, כך ש"כאשר קבוצות תוכנות כופר ממצות את היצע 'הפירות הנמוכים', סביר להניח שהן יתעדפו את יעדי המאמץ הגבוהים הללו".

לא משנה מה המניע העיקרי, אם עוד גורמי איומים הולכים באותו הנתיב, ארגונים המריצים מערכות מבוססות לינוקס צריכים להיות מוכנים.

הגנה מפני תוכנות כופר דורשת "גישה רב-צדדית", אומר Delamotte, תוך עדיפות לנראות, חינוך, ביטוח, אבטחה רב-שכבתית ותיקון, בבת אחת.

"על ידי נקיטת גישה פרואקטיבית לאבטחת סייבר", היא אומרת, "חברות יכולות להגדיל את הסיכוי שלהן להתגונן בהצלחה מפני התקפות כופר".

• הפצת תוכן ויחסי ציבור מופעל על ידי SEO. קבל הגברה היום.
• Platoblockchain. Web3 Metaverse Intelligence. ידע מוגבר. גישה כאן.
• מקור: https://www.darkreading.com/endpoint/icefire-ransomware-portends-broader-shift-windows-linux