Cheerscrypt-Ransomware
Cybersicherheitsforscher haben eine neue Linux-basierte Ransomware-Familie entdeckt, die auf VMware ESXi-Server abzielt. Details zu dieser speziellen Malware wurden in einem Bericht von Trend Micro enthüllt, der die Bedrohung als Cheersrypt oder Cheers Ransomware verfolgt. Es sei darauf hingewiesen, dass dies nicht der erste böswillige Versuch ist, ESXi-Server auszunutzen. Früher haben Ransomware-Familien wie LockBit , Hive und RansomEXX allesamt ESXi-Systeme ins Visier genommen, mit der Absicht, Geld von den betroffenen Organisationen zu erpressen.
Unternehmen verwenden ESXi häufig zum Erstellen und Ausführen virtueller Maschinen (VM), während sie denselben Laufwerksspeicher gemeinsam nutzen. Die breite Akzeptanz durch Organisationen aller Größen und geografischen Standorte hat die ESXi-Server zu einem lukrativen Ziel für cyberkriminelle Organisationen gemacht.
Technische Details
Bevor es vollständig auf dem infizierten Gerät bereitgestellt werden kann, benötigt Cheerscrypt einen bestimmten Eingabeparameter, der den genauen Pfad für die Verschlüsselung angibt. Anschließend implementiert und führt die Bedrohung einen Befehl aus, um aktuell laufende VM-Prozesse über ESXCLI zu beenden. Dies geschieht, um die erfolgreiche Verschlüsselung von VMware-bezogenen Dateien sicherzustellen, auf die ansonsten möglicherweise nicht zugegriffen werden könnte. Schließlich zielt die Bedrohung speziell auf Dateien mit den Erweiterungen „.log“, „.vmdk“, „.vmem“, „.vswp“ und „.vmsn“ ab.
Cheerscrypt verwendet für seine Verschlüsselungsroutine eine Kombination aus der SOSEMANUK-Stream-Chiffre und ECDH. Dateien werden mit SOSEMANUK verschlüsselt, während ECDH für die Generierung des Schlüssels verantwortlich ist. Jede gesperrte Datei wird als neue Erweiterung an ihren Namen „.Cheers“ angehängt. Ein besonderes Merkmal der Bedrohung ist, dass sie die Namen der Dateien ändert, bevor sie mit der Verschlüsselung beginnen.
Die Lösegeldforderung von Cheerscrypt enthüllt, dass seine cyberkriminellen Betreiber ein doppeltes Erpressungssystem betreiben. Abgesehen davon, dass sie die Dateien ihrer Opfer gesperrt haben, behaupten die Hacker auch, wertvolle vertrauliche Informationen von den angegriffenen Systemen gesammelt zu haben. Wenn ihre Forderungen nicht innerhalb von 3 Tagen erfüllt werden, warnen die Bedrohungsakteure, dass sie damit beginnen werden, die erlangten Informationen der Öffentlichkeit zu veröffentlichen.
