Ransomcrypt trójai

CH azonosító

Angol cím

Felfedezés dátuma

Súlyosság

Érintett rendszerek

Érintett verziók

Linux/Unix

Összefoglaló

A Ransomcrypt trójai készítői is úgy határoztak, hogy a Windows-os számítógépek mellett immár a Linuxot, valamint a Mac OS X-et is célkeresztbe állítják. 

Leírás

A kártékony programjuk Linux kompatibilis változata a céljait és a működését tekintve nagyon hasonlít a már jó ideje Windows alatt fertőző társaihoz. Ennek megfelelően fájlokat titkosít, majd váltságdíjat követel. A követelések azonban nem látványos, grafikus formában jelennek meg, hiszen ezúttal olyan rendszerek ostromlásáról van szó, amelyek sok esetben parancssoros módban működnek. Így aztán a trójai egyszerű, szöveges állományok révén közli a feltételeket, és a helyreállításhoz szükséges teendőket.

A linuxos Ransomcrypt az etc könyvtár mellett elsősorban olyan mappákban okoz pusztítást, amelyek webszerverekhez (például az Apache-hoz) tartoznak. Nem kíméli a HTML, a PHP, a Java, a Ruby, az ASP/ASPX stb. állományokat sem. Azokat mind titkosítja csakúgy, mint a szerverekre feltöltött Word, illetve PDF formátumú dokumentumokat, multimédiás állományokat és tömörített fájlokat.

Technikai részletek:

1. Létrehozza a következő állományokat:
/index.crypto
/readme.crypto
/[…]/README_FOR_DECRYPT.txt

2. Felkutatja az összes fájlt az alábbi mappákban, majd titkosítja azokat:
/home
/root
/var/lib/mysql
/var/www
/etc/nginx
/etc/apache2
/var/log
/etc/passwd

3. További titkosítandó állományokat kutat fel a következő könyvtárakban:
public_html
www
webapp
backup
.git
.svn

4. Az általa kompromittált állományok fájlnevét .encrypted kifejezéssel bővíti ki.

5. Minden olyan könyvtárba, amelyben fájlokat titkosított létrehoz egy szöveges állományt README_FOR_DECRYPT.txt néven.

Megoldás

• Tartsa rendszerét naprakészen, mindig telepítse a legújabb frissítéseket!
• Készítsen gyakran biztonsági mentést!
• Ne nyisson meg ismeretlen feladótól érkező, vagy nem megbízható (SPAM) emaileket!
• Ne töltse le, vagy nyissa meg ezen emailek mellékletét!
• Használjon ransomware detektáló, és blokkoló termékeket!

Támadás típusa

Hatás

Szükséges hozzáférés

Hivatkozások

Egyéb referencia: isbk.hu
Egyéb referencia: www.symantec.com