La versione Linux di Lockbit, prende di mira VMware ESXi servers.

Redazione RHC : 27 Gennaio 2022 11:14

Ne avevamo parlato diverso tempo fa, anche nell’intervista del portavoce di REvil UNKNOWN, di quanto le gang stavano investendo per la creazione di ransomware mirati per le piattaforme Linux e ci siamo arrivati.

Infatti sono già diversi i ransomware che lavorano su questa piattaforma, possiamo citare HelloKitty, BlackMatter, REvil, AvosLocker e Hive, ma di recente LockBit ha concentrato parte dei suoi sforzi per compromettere le macchine virtuali VMware ESXi ospitate sui server Linux per poi attivare il payload di cifratura.

Si sta passando sempre più violentemente dai server fisici alle macchine virtuali per risparmiare risorse dei computer, consolidare i server e semplificare i backup.

Per questo motivo, le bande di ransomware hanno evoluto le loro tattiche per creare dei ransomware capaci di prendere di mira le popolari piattaforme di virtualizzazione VMware vSphere ed ESXi nell’ultimo anno.

A ottobre, LockBit ha iniziato a promuovere le nuove funzionalità della sua operazione Ransomware-as-a-Service sui forum di hacking RAMP, incluso un nuovo encryptor Linux che prende di mira le macchine virtuali VMware ESXi.

In un nuovo rapporto, i ricercatori di Trend Micro hanno analizzato il cryptolocker Linux prodotto dalla nota banda ransomware e hanno spiegato come viene utilizzato per prendere di mira le installazioni VMWare ESXi e vCenter.

LockBits fornisce un’interfaccia a riga di comando che consente agli affiliati di abilitare e disabilitare varie funzionalità del malware per personalizzare i loro attacchi.

Queste funzionalità include la possibilità di specificare la dimensione di un file e quanti byte crittografare, se interrompere l’esecuzione di macchine virtuali o cancellare lo spazio libero dopo, come mostrato dall’immagine seguente.

Argomenti della riga di comando del crittografo LockBit Linux Fonte: Trend Micro

Tuttavia, ciò che distingue LockBit linux encryptor è l’ampio utilizzo delle utilità della riga di comando VMware ESXI e VMware vCenter per verificare quali macchine virtuali sono in esecuzione e spegnerle in modo pulito in modo che non vengano danneggiate durante la crittografia.

Con l’uso diffuso di VMware ESXI nelle aziende, tutti i difensori della rete e i professionisti della sicurezza dovrebbero aspettarsi che ogni operazione di ransomware di grandi dimensioni abbia già sviluppato una variante per Linux.

Facendo questo presupposto, gli amministratori e i professionisti della sicurezza possono creare difese e piani appropriati per proteggere tutti i dispositivi nelle loro reti, piuttosto che solo i dispositivi Windows.

Ciò è particolarmente vero per l’operazione LockBit, che è diventata l’operazione ransomware più importante da quando REvil è stato chiuso, oltre ad essere orgogliosa della velocità e del set di funzionalità dei suoi ransomware.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.