I creatori di ransomware Linux per la terza volta sfortunati mentre i ricercatori decifrano di nuovo la crittografia

I ricercatori scoprono che la versione Linux.Encoder 3 utilizza ancora una crittografia difettosa e consente il recupero dei file

Con grande gioia dei ricercatori di sicurezza, un gruppo di creatori di malware sta attualmente avendo difficoltà a ottenere implementazioni crittografiche corrette nel loro ransomware. Questo non è successo una volta, ma tre volte.

Un gruppo di criminali informatici negli ultimi mesi ha cercato di infettare i sistemi Linux, principalmente server Web, con un programma di ransomware che cripta i file e che l’industria della sicurezza ha soprannominato Linux.Encoder.

Secondo i ricercatori di sicurezza del fornitore di antivirus Bitdefender, la terza versione di Linux.Encoder ha infettato almeno 600 server vulnerabili in tutto il mondo.

La buona notizia è che questa versione del programma ha anche un difetto che rende possibile la decrittazione senza pagare il riscatto, nonostante i tentativi dei suoi creatori di affrontare i loro fallimenti precedenti.

Catalin Cosoi, chief security strategist di Bitdefender, ha dichiarato: “Come ci aspettavamo, i creatori di Linux.Encoder hanno corretto i loro bug precedenti e creato una nuova variante migliorata. Fortunatamente per le vittime, la nuova variante di Linux.Encoder è ancora vulnerabile agli attacchi di recupero delle chiavi.

“La vecchia versione del ransomware Linux.Encoder generava un vettore di inizializzazione di 16 byte e una chiave AES di 16 byte chiamando la funzione rand(). Il seme iniziale per il RNG è stato preso dal timestamp corrente, che era in realtà molto vicino al tempo di modifica del file dopo la crittografia.”

Quando Bitdefender ha documentato l’approccio difettoso alla generazione di IV e chiavi nelle versioni precedenti, la comunità di Twitter ha deriso gli sviluppatori di ransomware suggerendo miglioramenti stravaganti alla funzionalità del ransomware.

Cosoi ha detto: “A quanto pare, gli operatori hanno effettivamente preso nota di queste raccomandazioni; di conseguenza, l’IV ora viene generato da un hash della dimensione del file e del nome del file – 32 byte da rand() vengono hashati 8 volte e utilizzati come chiave AES-256.”

E gli attaccanti hanno comunque commesso errori di codifica a livello n00b. Ad esempio, c’è un link statico mancante nella libreria libc che impedisce al ransomware di avviarsi su sistemi più vecchi che sarebbero più facili da compromettere.

I creatori del ransomware non sono riusciti a selezionare un algoritmo di hashing, a causa del quale l’output della funzione di hashing rimane invariato. I ricercatori di Bitdefender hanno dichiarato in un post sul blog martedì. “Di conseguenza, l’intera chiave AES è ora scritta nel file crittografato, il che rende il suo recupero un gioco da ragazzi.”

Questo significa che tutte le chiamate alle primitive Update e Finish sono inefficaci. Di conseguenza, l’intera chiave AES è ora scritta nel file crittografato, il che rende il suo recupero un processo semplice.

Bitdefender ha rilasciato un nuovo strumento che può decrittografare i file colpiti da questa ultima versione di Linux.Encoder per coloro che sono stati colpiti dalla nuova versione di questo ransomware.

Sfortunatamente, le persone dietro questo programma di ransomware sembrano piuttosto determinate e probabilmente non continueranno a fare errori. È sicuro presumere che prima o poi otterranno la loro implementazione corretta, e quando ciò accadrà, i file crittografati da Linux.Encoder saranno irrecuperabili senza backup o pagando il riscatto.

Il ricercatore di BitDefender Radu Caragea ha definito l’ultima variante di Linux.Encoder una controffensiva un “colpo ravvicinato” e afferma che le vittime che sfuggono al controllo della terza versione potrebbero non avere una quarta possibilità.

“Anche se questo è il terzo colpo fortunato, assicurati che, dopo il recupero, aggiorni le piattaforme vulnerabili e fermi questo tipo di attacco sul nascere.”

“La prossima volta, gli hacker potrebbero effettivamente presentare una versione funzionante del ransomware che non sarà così facile da decrittare.”