„Др. Уеб“ откри зловреден софтуер, който криптира файлове на Linux машини и иска откуп, но все още не е ясно как се разпространява
Руската компания за антивирусна и интернет защита „Др. Уеб“ е идентифицирала нов зловреден софтуер, насочен към Linux системи, който криптира данни и изнудва жертвите. Заплахата е наречена Linux.Encoder.1. Засега не е установено как точно малуерът се разпространява и инсталира на машините на жертвите, съобщава Security Week, цитиран от „Др. Уеб“.
Според информацията на „Др. Уеб“, след заразяване на устройството, зловредният код изтегля няколко файла, сред които файл с исканията на организатора на атаката и файл, съдържащ публичен RSA ключ, който опакова AES ключовете, използвани за криптиране на данните. След това програмата, написана на езика C и използваща библиотеката PolarSSL, се стартира като демон и изтрива оригиналните файлове.
Какво криптира заплахата
Linux.Encoder.1 криптира данни от домашната и кореновата директория, като се фокусира върху файлове, свързани с уеб сървъри и администриране на уеб ресурси. Сред целевите директории са /var/lib/mysql, /var/www, /etc/nginx, /etc/apache, /var/log, както и папки като public_html, www, webapp, backup, .git и .svn. Освен това зловредният софтуер търси файлове, свързани с разработка на уеб съдържание, документи, приложения и медийни файлове.
За криптиране на данните троянската програма генерира AES ключ и заключва информацията с алгоритъма AES-CBC-128, като добавя разширение ".encrypted" към имената на файловете. Това прави файловете недостъпни без съответния ключ за декриптиране.
Жертви и решение
От „Др. Уеб“ работят по създаването на решение, което би могло да възстанови криптираните файлове. По данни на компанията жертвите са „десетки“, но от там не посочват точния брой на откритите компрометирани машини. Към момента на публикуване на информацията (7 ноември 2015 г.) не е ясно как зловредният софтуер прониква в системите, което прави превенцията по-трудна.