Новый вирус LILU атакует серверы

12 сентября 2019

Недавно, специалисты в сфере интернет-безопасности, обнаружили еще один вирус-шифровальщик, который называет себя Lilocked, или кратко Lilu. Зловред судя по всему атакует только серверы на Linux, и уже успел атаковать более шести тысяч серверов.

Первые упоминания о вирусе, эксперты зафиксировали в середине июля этого года, но до сих пор, никто точно не может сказать, каким образом шифровальщик попадает на сервер. После того, как известный в своих кругах специалист по ИБ Майкл Гиллеспи, написал в своем твиттере заметку о Lilocked, пользователи стали сообщать что уже столкнулись с данной проблемой. Пользователи отмечают, что вероятно, вирус мог проникнуть на сервер через устаревшую версию WordPress или уязвимость в почтовом сервере Exim.

Зараженные серверы легко обнаруживаются, благодаря тому, что Lilu изменять расширение всех файлов на *.lilocked. Таким образом, все файлы на сервере шифруются и в каждой папке появляется файл-ссылка на страницу в даркнете, где находится сообщение с требованием о выкупе. Данный «малварь» не шифрует системные файлы на сервере, позволяя ему работать и дальше, но полностью блокирует файлы сайтов и дополнительного программного обеспечения, например, файлы шаблонов, скриптов, изображений и конфигурационные файлы.

Послание с требованием о выкупе выглядит, как электронное письмо, в котором описывается суть проблемы и требование выкупа. Пользователю предлагается перейти на сайт хакера в даркнете, на котором нужно ввести свой уникальный ключ и заплатить выкуп. Сейчас мошенник требует 0,03 биткоина, что на сегодняшний день, составляет примерно $300.

По некоторой информации, данный вирус уже успел атаковать по меньшей мере 6770 серверов. Это легко отследить, с помощью поисковика, в котором проиндексированы все серверы, попытавшись найти в заголовке фразу из зашифрованного файла. Запрос выглядит так intitle: “index of” ”#README.lilocked”.

Скорее всего, реально количество зараженных серверов значительно больше, потому как они не все индексируются в Google. До сих пор, все еще не известно атакует ли вирус только файловые серверы на Linux, или же все остальные доже в опасности, но чтобы не попасть в подобную ситуацию, и не потерять все данные на своем сервере, рекомендуем установить решение от ESET специально для файловых серверов.