Összefoglaló
A Ransomcrypt trójai készítői is úgy határoztak, hogy a Windows-os számítógépek mellett immár a Linuxot, valamint a Mac OS X-et is célkeresztbe állítják.
Leírás
A kártékony programjuk Linux kompatibilis változata a céljait és a működését tekintve nagyon hasonlít a már jó ideje Windows alatt fertőző társaihoz. Ennek megfelelően fájlokat titkosít, majd váltságdíjat követel. A követelések azonban nem látványos, grafikus formában jelennek meg, hiszen ezúttal olyan rendszerek ostromlásáról van szó, amelyek sok esetben parancssoros módban működnek. Így aztán a trójai egyszerű, szöveges állományok révén közli a feltételeket, és a helyreállításhoz szükséges teendőket.
A linuxos Ransomcrypt az etc könyvtár mellett elsősorban olyan mappákban okoz pusztítást, amelyek webszerverekhez (például az Apache-hoz) tartoznak. Nem kíméli a HTML, a PHP, a Java, a Ruby, az ASP/ASPX stb. állományokat sem. Azokat mind titkosítja csakúgy, mint a szerverekre feltöltött Word, illetve PDF formátumú dokumentumokat, multimédiás állományokat és tömörített fájlokat.
Technikai részletek:
1. Létrehozza a következő állományokat:
/index.crypto
/readme.crypto
/[…]/README_FOR_DECRYPT.txt
2. Felkutatja az összes fájlt az alábbi mappákban, majd titkosítja azokat:
/home
/root
/var/lib/mysql
/var/www
/etc/nginx
/etc/apache2
/var/log
/etc/passwd
3. További titkosítandó állományokat kutat fel a következő könyvtárakban:
public_html
www
webapp
backup
.git
.svn
4. Az általa kompromittált állományok fájlnevét .encrypted kifejezéssel bővíti ki.
5. Minden olyan könyvtárba, amelyben fájlokat titkosított létrehoz egy szöveges állományt README_FOR_DECRYPT.txt néven.
Megoldás
- Tartsa rendszerét naprakészen, mindig telepítse a legújabb frissítéseket!
- Készítsen gyakran biztonsági mentést!
- Ne nyisson meg ismeretlen feladótól érkező, vagy nem megbízható (SPAM) emaileket!
- Ne töltse le, vagy nyissa meg ezen emailek mellékletét!
- Használjon ransomware detektáló, és blokkoló termékeket!
Hivatkozások
Egyéb referencia: isbk.hu
Egyéb referencia: www.symantec.com