草庐IT

IceFire勒索软件针对Linux企业系统推出新变体

Shweta 2023-03-28 原文
网络安全服务商SentinelOne公司的研究部门SentinelLabs发现了一种新型的Linux版IceFire勒索软件,该勒索软件利用IBM公司的Aspera Faspex文件共享软件的一个漏洞。

该漏洞是最近修补的Aspera Faspex漏洞CVE-2022-47986。

到目前为止,SentinelLabs检测到的IceFire恶意软件只针对Windows系统进行攻击,它使用了iFire扩展,这与MalwareHunterTeam(分析和跟踪威胁的独立网络安全研究人员的组织)在今年2月发布的研究报告一致,该报告称IceFire正在将重点转移到Linux企业系统。

与以往攻击科技公司的行为不同,Linux版本的IceFire开始攻击媒体和娱乐公司。

根据SentinelLabs发布的这份报告,网络攻击者的策略与“大型游戏狩猎”(BGH)勒索软件家族一致,包括双重勒索、针对大型企业的攻击、使用大量持久性机制以及删除日志文件等逃避策略。双重勒索发生在网络攻击者窃取数据并加密数据的同时,通常要求支付双倍的赎金。

IceFire Linux变体的特点

IceFire Linux版本是一个2.18MB的64位ELF(可执行和可链接)二进制文件,使用开源GCC(GNU编译器集合)编译,用于AMD 64位系统处理器架构。有效负载也在基于英特尔的Ubuntu和Debian发行版上成功运行。

IceFire Linux版本被人发现部署在运行CentOS的主机上,CentOS是一种开源Linux发行版,运行的是易受攻击的IBM Aspera Faspex文件服务器软件。

利用这一漏洞,系统下载了IceFire有效载荷并执行它们来加密文件,并使用“.ifire”扩展名重命名文件,之后,有效载荷被设计为自行删除以避免检测。

IceFire Linux有效负载的脚本排除了某些系统关键文件和路径的加密,包括以下文件扩展名:.cfg、.o、.sh、.img、.txt、.xml、.jar、.pid、.ini、.pyc、.a、.so、.run、.env、.cache、.xmlb、.p,以及路径/boot、/dev/、/etc、/lib、/proc、/srv、/sys、/usr、/var、/run。

这样做是为了使系统的关键部分没加密并保持运行。

在IceFire Linux变体中观察到的另一种新策略是利用漏洞,而不是传统地通过网络钓鱼消息或通过某些利用后的第三方框架(包括Empire、Metaspoilt、Cobalt Strike)进行传递。

IceFire Payload使用RSA加密和Tor网络

IceFire有效载荷托管在Digital Ocean droplet上,这是一个托管在Digital Ocean云计算平台上的虚拟机,其IP地址为159.65.217.216。SentinelLabs建议对这一IP地址使用通配符,以防参与者转向一个新的交付域。通配符是指在安全策略或配置规则中使用一个通配符来覆盖多个设备。

IceFire有效载荷使用RSA加密算法,将RSA公钥硬编码到二进制文件中。此外,有效载荷从二进制文件中的嵌入式资源中删除勒索通知,并将其写入每个文件加密目标目录。

IceFire赎金请求消息包括一个预定义的用户名和密码,必须用于访问赎金支付网站,该网站托管在Tor隐藏服务上(网站和服务托管在去中心化的Tor网络上,以支持匿名浏览)。

与Windows相比,Linux对勒索软件带来了更多的挑战,这是因为许多Linux系统都是服务器,不太容易受到网络钓鱼或下载驱动等常见感染方法的影响。这就是网络攻击者会利用应用程序中漏洞的原因,IceFire勒索软件组织就是一个例子,该组织利用IBM Aspera漏洞部署其有效载荷。

有关IceFire勒索软件针对Linux企业系统推出新变体的更多相关文章

  1. 电脑0x0000001A蓝屏错误怎么U盘重装系统教学 - 2

      电脑0x0000001A蓝屏错误怎么U盘重装系统教学分享。有用户电脑开机之后遇到了系统蓝屏的情况。系统蓝屏问题很多时候都是系统bug,只有通过重装系统来进行解决。那么蓝屏问题如何通过U盘重装新系统来解决呢?来看看以下的详细操作方法教学吧。  准备工作:  1、U盘一个(尽量使用8G以上的U盘)。  2、一台正常联网可使用的电脑。  3、ghost或ISO系统镜像文件(Win10系统下载_Win10专业版_windows10正式版下载-系统之家)。  4、在本页面下载U盘启动盘制作工具:系统之家U盘启动工具。  U盘启动盘制作步骤:  注意:制作期间,U盘会被格式化,因此U盘中的重要文件请注

  2. 【鸿蒙应用开发系列】- 获取系统设备信息以及版本API兼容调用方式 - 2

    在应用开发中,有时候我们需要获取系统的设备信息,用于数据上报和行为分析。那在鸿蒙系统中,我们应该怎么去获取设备的系统信息呢,比如说获取手机的系统版本号、手机的制造商、手机型号等数据。1、获取方式这里分为两种情况,一种是设备信息的获取,一种是系统信息的获取。1.1、获取设备信息获取设备信息,鸿蒙的SDK包为我们提供了DeviceInfo类,通过该类的一些静态方法,可以获取设备信息,DeviceInfo类的包路径为:ohos.system.DeviceInfo.具体的方法如下:ModifierandTypeMethodDescriptionstatic StringgetAbiList​()Obt

  3. 软件测试基础 - 2

    Ⅰ软件测试基础一、软件测试基础理论1、软件测试的必要性所有的产品或者服务上线都需要测试2、测试的发展过程3、什么是软件测试找bug,发现缺陷4、测试的定义使用人工或自动的手段来运行或者测试某个系统的过程。目的在于检测它是否满足规定的需求。弄清预期结果和实际结果的差别。5、测试的目的以最小的人力、物力和时间找出软件中潜在的错误和缺陷6、测试的原则28原则:20%的主要功能要重点测(eg:支付宝的支付功能,其他功能都是次要的)80%的错误存在于20%的代码中7、测试标准8、测试的基本要求功能测试性能测试安全性测试兼容性测试易用性测试外观界面测试可靠性测试二、质量模型衡量一个优秀软件的维度①功能性功

  4. kvm虚拟机安装centos7基于ubuntu20.04系统 - 2

    需求:要创建虚拟机,就需要给他提供一个虚拟的磁盘,我们就在/opt目录下创建一个10G大小的raw格式的虚拟磁盘CentOS-7-x86_64.raw命令格式:qemu-imgcreate-f磁盘格式磁盘名称磁盘大小qemu-imgcreate-f磁盘格式-o?1.创建磁盘qemu-imgcreate-fraw/opt/CentOS-7-x86_64.raw10G执行效果#ls/opt/CentOS-7-x86_64.raw2.安装虚拟机使用virt-install命令,基于我们提供的系统镜像和虚拟磁盘来创建一个虚拟机,另外在创建虚拟机之前,提前打开vnc客户端,在创建虚拟机的时候,通过vnc

  5. ruby - 在没有基准或时间的情况下用 Ruby 测量用户时间或系统时间 - 2

    因为我现在正在做一些时间测量,我想知道是否可以在不使用Benchmark类或命令行实用程序time的情况下测量用户时间或系统时间。使用Time类只显示挂钟时间,而不显示系统和用户时间,但是我正在寻找具有相同灵active的解决方案,例如time=TimeUtility.now#somecodeuser,system,real=TimeUtility.now-time原因是我有点不喜欢Benchmark,因为它不能只返回数字(编辑:我错了-它可以。请参阅下面的答案。)。当然,我可以解析输出,但感觉不对。*NIX系统的time实用程序也应该可以解决我的问题,但我想知道是否已经在Ruby中实

  6. ruby - 以毫秒为单位获取当前系统时间 - 2

    在Ruby中,以毫秒为单位获取自纪元(1970)以来的当前系统时间的正确方法是什么?我试过了Time.now.to_i,好像不是我想要的结果。我需要结果显示毫秒并且使用long类型,而不是float或double。 最佳答案 (Time.now.to_f*1000).to_iTime.now.to_f显示包含十进制数字的时间。要获得毫秒数,只需将时间乘以1000。 关于ruby-以毫秒为单位获取当前系统时间,我们在StackOverflow上找到一个类似的问题:

  7. ruby-on-rails - Spree 如何在下拉 Ruby on Rails 中显示变体? - 2

    我在我的应用程序中使用spree2.0.0稳定版。在产品展示页面上,所有变体都显示为单选按钮。我只想在下拉列表中显示它们。对此有什么想法吗?谢谢。 最佳答案 注意:此解决方案实现Spree“模板替换方法”,尤其是当您在应用程序设计或使用自定义设计中进行大量设计更改时。看这里http://guides.spreecommerce.com/developer/view.html否则,如果您使用的是Spree商店的默认设计或较小的更改,请使用“破坏”方法。前往:app/views/spree/products/_cart.html.erb

  8. ruby-on-rails - 如何构建复杂的 Rails 系统 - 2

    关闭。这个问题需要更多focused.它目前不接受答案。想改进这个问题吗?更新问题,使其只关注一个问题editingthispost.关闭8年前。Improvethisquestion我们有以下(以及更多)系统,我们将数据从一个应用推送/拉取到另一个:托管CRM(InsideSales.com)Asterisk电话系统(内部)横幅广告系统(openx,我们托管)潜在客户生成系统(自行开发)电子商务商店(spree,我们托管)工作板(本土)一些工作网站抓取+入站工作提要电子邮件传送系统(如Mailchimp,自主开发)事件管理系统(如eventbrite,自主开发)仪表板系统(大量图表和

  9. ruby-on-rails - Rails 3,在RAILS_ROOT上方显示来自本地文件系统的jpg图片 - 2

    我正在尝试找出一种方法来显示来自不在RAILS_ROOT下(在RedHat或Ubuntu环境中)的已安装文件系统的图像。我不想使用符号链接(symboliclink),因为这个应用程序实际上是通过Tomcat部署的,而当我关闭Tomcat时,Tomcat会尝试跟随符号链接(symboliclink)并删除挂载中的所有图像。由于这些文件的数量和大小,将图像放在public/images下也不是一种选择。我查看了send_file,但它只会显示一张图片。我需要在一个格式良好的页面中显示6个请求的图像。由于膨胀,我宁愿不使用Base64编码,但我不知道如何将图像数据与呈现的页面一起传递下去。

  10. ruby - 我可以从 Ruby 中的系统调用中获得连续输出吗? - 2

    当您在Ruby脚本中使用系统调用时,您可以像这样获得该命令的输出:output=`ls`putsoutput这就是thisquestion是关于。但是有没有办法显示系统调用的连续输出?例如,如果您运行此安全复制命令,以通过SSH从服务器获取文件:scpuser@someserver:remoteFile/some/local/folder/...它显示随着下载进度的连续输出。但是这个:output=`scpuser@someserver:remoteFile/some/local/folder/`putsoutput...不捕获该输出。如何从我的Ruby脚本中显示正在进行的下载进度?

随机推荐