Scoperta una nuova variante del ransomware Helldown che colpisce Linux

I ricercatori di Sekoia hanno individuato una nuova variante del ransomware Helldown che colpisce i sistemi Linux. Scoperto lo scorso agosto, inizialmente il ransomware colpiva solo sistemi Windows, mentre ora ha esteso il suo raggio d’azione.

Helldown è un ransomware a doppia estorsione che sfrutta vulnerabilità note per accedere alle reti aziendali e diffondere il malware. Dalle analisi di Sekoia emerge che il gruppo ha sfruttato alcuni bug nelle appliance Zyxel per l’accesso iniziale e in seguito rubare credenziali e creare tunnel SSL VPN per la comunicazione.

Nei suoi attacchi, il gruppo ha ottenuto grandi volumi di dati, per una media di 70 GB per vittima, con picchi anche di 431 GB. “Questo approccio differisce dalla strategia tipica di altri gruppi ransomware, i quali di solito preferiscono esfiltrazioni più selettive e mirate per rimanere discreti e massimizzare il potenziale danno nel caso di un leak” scrivono i ricercatori. I file sottratti sono di vario tipo, ma la maggior parte consiste di documenti PDF.

La variante Linux è stata scoperta il 31 ottobre. Il malware carica una configurazione XML hard-coded dove sono indicate specifiche azioni e relativi tag; in seguito, il ransomware itera sui path forniti come argomenti della funzione del programma e, quando trova un file con un’estensione di interesse, lo cifra totalmente o parzialmente, in base alla sua dimensione. Finita la fase di cifratura, viene creata la nota di riscatto. Per la chiave di cifratura viene usato RSA PKCS1.

Il ransomware è anche in grado di accedere alla lista di macchine virtuali in esecuzione e interrompere i singoli processi. 

Secondo i dati dei ricercatori, Helldown è particolarmente attivo: solo negli ultimi tre mesi il ransomware ha colpito con successo 31 vittime. Gli obiettivi più colpiti sono realtà medio-piccole degli Stati Uniti, anche se tra le vittime si annoverano business europei. I settori più colpiti sono quelli dei servizi IT, delle telecomunicazione, il manifatturiero e il sanitario.

Al momento non ci sono prove che il gruppo sia legato ad altre gang più note. I ricercatori di Sekoia ritengono che Helldown possa avere qualche connessione con Darkrace o Donex per via delle similarità tra i ransomware, anche se è ancora difficile confermare l’esistenza di una relazione.