Ransomware zielt auf Windows- und Linux-Server ab

Cyberkriminelle entwickeln ständig neue Techniken, um potenzielle Opfer ins Visier zu nehmen, ohne erwischt zu werden. Dies gilt insbesondere für Ransomware-Angreifer, die in das Netzwerk einer Organisation eindringen und dort sensible Dateien verschlüsseln und sie quasi in Geiselhaft nehmen. 'TycoonEine neue Ransomware namens „, Java Es zielt auf Windows- und Linux-Server ab. Der vom BlackBerry Research and Intelligence Team und KPMG UK Cyber ​​​​Response Services veröffentlichte Bericht gibt Aufschluss darüber, wie diese Angriffe organisiert sind.

Tycoon, das seit letztem Dezember auftritt, ist eine plattformübergreifende Java-Ransomware und ihr Ziel Windows Und Linux Dateien auf ihren Servern. Tycoon verwendet JIMAGE, ein obskures Java-Bildformat, um eine Offenlegung zu vermeiden. JIMAGE wird von der Java Virtual Machine (JVM) während ihres Betriebs verwendet. Java Laufzeit Umfeld Es speichert (JRE-)Bilder. Konkret handelt es sich bei der Tycoon-Ransomware um eine ZIP-Datei, die die infizierte JRE-Assembly enthält. Obwohl Ransomware bereits zuvor Java verwendet hat, verwendet sie dieses Mal das JIMAGE-Format, um eine personalisierte und schädliche Datei zu erstellen. JRE mit Zusammenstellung Erste mal angetroffen wird.

Die Zielunternehmen und Bildungseinrichtungen sind:

Die Ransomware zielt offenbar auf kleine und mittlere Unternehmen, Bildungseinrichtungen und Softwareunternehmen ab. Die erste Infektion erfolgte über einen mit dem Internet verbundenen Computer RDP Dies erfolgt über den (Remote Desktop Protocol)-Server. Dieses System dient zur Steuerung anderer Geräte über eine eigene Sicherheitszone. Nach dem Angriff auf den Domänencontroller und die Dateiserver zwangen Hacker Systemadministratoren, sich in ihre Computer einzuhacken. draußen verlassen. 

Anschließend infiltrieren die Angreifer das kompromittierte System, indem sie den „Hacker-als-Server“-Prozess starten und die lokale Antiviren-Sicherheit deaktivieren. zurück Tür beendet und verlässt das Netzwerk. Anschließend stellt der Angreifer eine Verbindung zu einem RDP-Server her und nutzt diesen, um sich horizontal durch das Netzwerk zu bewegen. Indem der Hacker manuell eine RDP-Verbindung auf jedem Server initiiert, führt er den Prozess aus, deaktiviert den Sicherheitsschutz und erstellt eine Datei zum Starten der Ransomware. Stapel Datei es ausführen.

Dateien, deren Vertraulichkeit verletzt wurde, Galois/Schalter Im (GCM-)Modus wird ein 16-Byte-GCM-Authentifizierungs-Tag mitgeliefert, um die Datenintegrität sicherzustellen. ES-256 Es wird angegeben, dass es mit dem Algorithmus verschlüsselt ist. Indem Angreifer bestimmte Teile größerer Dateien nicht verschlüsseln, beschleunigen sie den Prozess, schaffen es aber trotzdem, die Dateien unbrauchbar zu machen. Feilen, asymmetrisch RSA Algorithmus Es wird mit verschlüsselt. Um diese Passwörter zu knacken, ist daher der private RSA-Schlüssel des Angreifers erforderlich, dessen Auffindung enorme Rechenleistung erfordert.

Obwohl Tycoon seit etwa 6 Monaten auf dem Markt ist, ist die Zahl der von diesen Angriffen betroffenen Menschen hoch verärgert Es wird angegeben, dass. In diesem Fall richteten sich die Angriffe entweder gegen bestimmte Organisationen oder anders Typ Es ist Teil eines größeren Angriffs mit Ransomware.