Doctor Web : Linux.Encoder.2 a été détecté

le 19 novembre 2015

L'émergence du Trojan Encoder ciblant Linux, Linux.Encoder.1, a alerté la communauté, car cela prouve que cet OS peut être touché par ce type de malwares. Les chercheurs ont détecté au moins deux représentants de ce type de Trojans. Les spécialistes de Doctor Web présentent les résultats de l’étude du Trojan baptisé Linux.Encoder.2.

Malgré le fait que ce logiciel malveillant porte le numéro 2, historiquement il est apparu le premier. Ainsi : Récemment, un éditeur d’antivirus a publié une étude sur un Trojan, baptisé Linux.Encoder.0 - vraisemblablement, il est le premier dans ce groupe des Encoders, Linux.Encoder.2 a été distribué plus tard en septembre-octobre 2015, puis Linux.Encoder.1 est apparu.

Le Trojan Linux.Encoder.2 utilise un autre générateur de chiffres pseudo-aléatoire et la bibliothèque de cryptage OpenSSL (et non PolarSSL comme Linux.Encoder.1). Le chiffrement est effectué en mode AES-OFB-128 avec réinitialisation du contexte chaque 128 octets c'est-à dire chaque 8 blocs AES. Linux.Encoder.2 comporte beaucoup d'autres différences par rapport à l'autre version de cet Encoder.

Il faut noter que les utilitaires de décryptage de fichiers ne peuvent pas supprimer le script shell, intégré par les malfaiteurs, qui peuvent l'utiliser pour infecter de nouveau le système. C'est pourquoi les spécialistes du support aident les victimes à nettoyer le système contre les objets malveillants et à le sécuriser contre les attaques utilisant ce script à l'avenir.

La signature de Linux.Encoder.2 a été ajoutée aux bases virales de Dr.Web Antivirus pour Linux. Les spécialistes de Doctor Web ont développé une technique de décryptage de fichiers touchés par ce logiciel malveillant. Si vous avez été infecté par Linux.Encoder.2 procédez comme suit :

• Déposez une plainte à la police ;
• Ne modifiez pas les dossiers contenant les fichiers cryptés ;
• Ne supprimez pas de fichiers sur le serveur ;
• N'essayez pas de restaurer les fichiers cryptés vous-même ;
• Contactez le support de technique de Doctor Web (ce service est gratuit pour les utilisateurs de licences commerciales Dr.Web);
• joignez le fichier crypté par le Trojan ;
• attendez la réponse du support technique ; en raison du nombre élevé de requêtes, cela peut prendre du temps.

Les services de déchiffrement sont gratuits uniquement pour les utilisateurs des produits commerciaux Dr.Web. Doctor Web, Ltd. ne garantit pas le décryptage de tous les fichiers touchés par l'encoder, mais nos spécialistes feront tout leur possible pour restaurer les données cryptées.