Poques notícies sobre virus poden ser interessants per als usuaris de Linux. La majoria estan creats per a Windows, i gairebé tots els que afecten Linux requereixen accés físic a lequip. El primer és una cosa que no compleix Cicada3301, un virus que va aparèixer per primera vegada al juny i que afecta Windows, fins aquí tot normal, i Linux. El pitjor és que de moment no es coneixen els detalls de com ha de ser la infecció a Linux. Altres sistemes operatius d'escriptori com macOS o BSD no s'esmenten a l'informe.
Si se sap que Cicada3301 és tipus «ransomware», segons la definició d'IBM «un tipus de codi maliciós que manté com a ostatges les dades o el dispositiu de la víctima, amenaçant de mantenir-los bloquejats, o una mica pitjor, llevat que la víctima pagui un rescat a l'atacant». Com a exemple visual, segur que coneixeu el virus de la policia, amb què un cop infectats només es veia un cartell amb informació sobre com recuperar l'equip, però era impossible accedir-hi ni recuperar-ne la informació sense certs coneixements.
Cicada3301 afecta petites i mitjanes empreses
Pel que sembla i com explica Morphisec, Cicada3301 té com a objectius les Pimes (Petites i Mitjanes Empreses), probablement a través d'atacs oportunistes que exploten les vulnerabilitats com a vector d'accés inicial. Això, traduït a un llenguatge més accessible podria quedar en què utilitza una aplicació de facturació pirata com a ganxo. Això o alguna cosa així. Està escrit a Rust i pot afectar tant Windows com Linux.
Part del funcionament fa que el seu executable s'incrusti en credencials d'usuari compromeses, que després són usades per executar PrExec, una eina legítima que possibilita l'execució de programes remotament. Entre les seves capacitats hi ha el xifrat Chacha20, possibilitat d'eliminar còpies, desactivar la recuperació del sistema i trencar les màquines virtuals —sistemes operatius dins de sistemes operatius—.
Els tipus de fitxers objectiu
Cicada3301 té com a objectiu un total de 35 extensions d'arxiu: sql, doc, rtf, xls, jpg, jpeg, psd, docm, xlsm, ods, ppsx, png, raw, dotx, xltx, pptx, ppsm, gif, bmp, dotm, xltm, pptm, odp, webp, pdf, odt, xlsb, ptox, mdf, tiff, docx, xlsx, xlam, potm i txt. La llista anterior es pot resumir parlant de documents i imatges, però cal destacar-ne també el primer: sql és l'extensió de fitxers de bases de dades, que quedarien inaccessibles després del xifratge.
«Independentment de si Cicada3301 és una nova marca d'ALPHV, tenen un ransomware escrit pel mateix desenvolupador que ALPHV, o simplement han copiat parts d'ALPHV per fer el seu propi ransomware, la línia de temps suggereix la desaparició de BlackCat i l'aparició de la primera botnet Brutus i després l'operació Cicada3301 ransomware possiblement tots connectats«, diu Morphisec.
I és que aquest nou virus ha agafat prestades idees dels altres que ja es coneixien, però no per això deixa de ser perillós.
D'on surt el nom de Cicada3301?
Això també em servirà per explicar la imatge de capçalera. Cicada és un gènere de cigales del vell món de la família dels cicàdids. Això, i un dels dolents que apareixen en Flash, el superheroi velocista de DC Comics. A la sèrie televisiva apareix a la cinquena temporada, i, entre altres coses, obté l'energia que van deixant totes les persones que Flash ha salvat i el mateix Flash.
Hi ha motius per preocupar?
No hi ha informació detallada que ens digui quants equips han estat infectats ni com, però sí que se sap que afecta sistemes operatius amb base Linux. En general, i això val per a qualsevol virus, si no visitem pàgines de reputació dubtosa, no hauríem d'agafar cap virus independentment del sistema operatiu que estiguem usant. A més, els objectius són les Pimes.
Per a les petites i mitjanes empreses, un consell: val la pena fer una còpia i seguretat dels documents importants en un núvol, ja que Cicada3301 no hi pot arribar. Sí que pot infectar servidors, però si fem servir els de Google, Microsoft o qualsevol altra companyia important ho tindran més difícil.