La dernière version de Ryuk Ransomware épargne des dossiers Linux
Le 13 décembre, des cybercriminels ont utilisé une version de Ryuk Ransomware dans l' attaque de la ville de La Nouvelle-Orléans . L'attaque a entraîné la fermeture des serveurs de la ville, d'importants efforts de quarantaine et le maire a déclaré l'état d'urgence. La ville de La Nouvelle-Orléans a été ajoutée à la liste de plus d'une centaine de gouvernements et d'organismes fédéraux, étatiques et municipaux qui sont devenus la proie d'attaques de ransomware aux États-Unis en 2019. Le Ryuk Ransomware, en particulier, a été utilisé dans des centaines d'attaques sur les entités privées et gouvernementales avec plus ou moins de succès.
La version de Ryuk Ransomware qui a infecté les réseaux de la ville de La Nouvelle-Orléans semble être relativement nouvelle. Le chercheur en sécurité Vitali Kremez a découvert une nouvelle caractéristique de cette itération du ransomware - il ne crypte pas délibérément les dossiers liés au système * nix.
Voici une liste des dossiers non inclus dans la liste noire des versions précédentes:
- poubelle
- démarrage
- Démarrage
- dev
- etc
- initrd
- lib
- courir
- sbin
- sys
- vmlinuz
- var
Ryuk Ransomware n'a pas de version dédiée pour les systèmes Linux. La raison de l'inclusion des dossiers * nix dans la liste noire est susceptible d'éviter d'interférer avec les distributions Linux installées sur Windows 10. Le sous-système Windows de Windows 10 pour Linux permet d'exécuter des distributions Linux dans un environnement Windows.
En fin de compte, l'objectif de ce changement est probablement une augmentation des résultats de paiement. Les versions précédentes chiffrant les dossiers * nix auraient pu rendre certains systèmes inutilisables, empêchant, sinon empêchant, la victime de payer la rançon. Cela se traduirait également par moins de travail pour les criminels au cas où ils auraient besoin de décrypter les données d'une victime.
La ville de la Nouvelle-Orléans n'a jamais divulgué de demande de rançon. Ils ont également déclaré que la perte de données de la cyberattaque était "très minime" et qu'aucune rançon n'avait été versée. Il n'y a eu aucune mise à jour des enquêtes sur l'incident. Les informations sur le coût du processus de récupération sont également indisponibles pour le moment. Que les cybercriminels considèrent cette attaque comme un succès ou un échec, il est peu probable que ce soit la dernière que nous entendions parler du Ryuk Ransomware. Les criminels l'ont utilisé dans un grand nombre d'attaques dans une période relativement courte depuis la première apparition de Ryuk en août 2018. Avec Ryuk et d'autres menaces de ransomware de plus en plus populaires et évolutives, les attaquants les utilisent pour cibler des organisations et des agences spécifiques, l'importance de développer et de maintenir des solutions et des contingences de cybersécurité solides ne peut pas être surestimée.