Killdisk перейшов на linux

KillDisk - деструктивний компонент, який використовувався в атаках на українські енергетичні та фінансові компанії в 2015 і 2016 рр. У грудні 2016 року фахівці ESET вивчали версію KillDisk, яка видаляла важливі системні файли, в результаті чого заражений комп`ютер переставав завантажуватися. Замість вилучених програма створювала нові файли, що містять рядок mrR0b07 або fS0cie7y - відсилання до серіалу "Містер Робот".

Останні версії KillDisk отримали нові функції - вони шифрують файли на зараженому пристрої і вимагають викуп за відновлення даних. Сума викупу рекордна - 222 біткоіни (більше 200 тис. Доларів).

Новітній KillDisk атакує як Windows, так і Linux-системи. У числі потенційних жертв не тільки робочі станції, але і сервери, що збільшує можливий збиток. Вимоги викупу в Windows і Linux-версіях ідентичні.

Windows-версія деструктивного компонента використовує алгоритм шифрування AES з 256-бітовим ключем (свій ключ для кожного файлу). Ключ для розшифровки зберігається на сервері зловмисників.

KillDisk для Linux шифрує файли за допомогою алгоритму Triple-DES. Програма не зберігає ключ шифрування на зараженому комп`ютері і не відправляє його на віддалений сервер, тому навіть сплата викупу не гарантує відновлення даних. З іншого боку, за оцінкою ESET, в роботі Linux-версії присутня вразливість, завдяки якій відновлення можливо.

Вірусна лабораторія ESET спостерігала еволюцію деструктивного компонента KillDisk в різних кібератаки. Експерти підкреслюють, що взаємозв`язок між організаторами атак не доведена.