`

СПЕЦИАЛЬНЫЕ
ПАРТНЕРЫ
ПРОЕКТА

Архив номеров

Что для вас является метрикой простоя серверной инфраструктуры?

Best CIO

Определение наиболее профессиональных ИТ-управленцев, лидеров и экспертов в своих отраслях

Человек года

Кто внес наибольший вклад в развитие украинского ИТ-рынка.

Продукт года

Награды «Продукт года» еженедельника «Компьютерное обозрение» за наиболее выдающиеся ИТ-товары

 

XBash — опасный коктейль «четыре в одном»

+22
голоса

XBash — опасный коктейль «четыре в одном»

Активная в последние пару лет группа разработчиков вредоносного ПО, известная под псевдонимами Iron и Rocke, разродилась многофункциональным вирусом, угрожающим безопасности серверов Linux и Windows.

Программа, получившая название XBash, объединяет в себе функциональность червя, ransomware, криптомайнера и ботнета.

Iron, которая, по мнению экспертов Cisco Talos базируется в Китае, в 2017 г. и начале 2018 г. распространяла вымогательское ПО, а затем перешла к массовым операциям по внедрению криптомайнеров.

Теперь же, как указали исследователи из Palo Alto Networks, хакеры объединили всё свои предыдущие тактические приёмы, развернув структуру ботнета с возможностями ransomware и майнера криптовалют. Этот «коктейль» Iron дополнила ещё и червём, способным самостоятельно распространяться внутри изолированных корпоративных сетей.

Анализ XBash показал, что указанные компоненты программа активирует селективно: ботнет и ransomware задействуется только при атаках на Linux-серверы, а криптомайнер работает только в среде Windows. Опция червя, по данным исследователей, использовалась на этапе разработки XBash и в настоящее время законсервирована.

Модуль ботнет, обеспечивающий плацдарм для развёртывания вредоносной деятельности XBash, содержит сканер, который ищет в Сети веб-приложения, не имеющие установленных защитных патчей или использующие настройки пароля по умолчанию.

Используя эксплойты, XBash проникает в серверы Hadoop, Redis или ActiveMQ, где оставляет копию своего ботнета и ransomware (если это Linux-серверы). Далее, он сканирует и удаляет работающие локально службы баз данных и оставляет сообщение с требованием выкупа в размере 0,02 Bitcoin ($125) за восстановление баз данных (которые к тому времени уже безвозвратно потеряны).

Инфицирование Windows происходит только если точкой входа является сервер Redis. В этом случае применяется особая процедура установки майнера виртуальных денег.

В состав ботнета XBash входит и ещё одни сканер, который ищет в Интернете и пытается взломать методом грубой силы веб-серверы (HTTP), VNC, MariaDB, MySQL, PostgreSQL, Redis, MongoDB, Oracle DB, CouchDB, ElasticSearch, Memcached, FTP, Telnet, RDP, UPnP/SSDP, NTP, DNS, SNMP, LDAP, Rexec, Rlogin, Rsh и Rsync. Это позволяет ботнету разрастаться более быстрыми темпами и увеличивает поверхность атаки.

На основании адресов Bitcoin, найденных в некоторых требованиях выкупа, эксперты сделали вывод, что хакеры уже смогли выманить 0,964 Bitcoin (порядка 6 тыс. долл.) за базы данных, которые они не могли и не собирались возвратить.

Активация «спящей» кросс-платформенной функциональности в следующих версиях XBash позволит мошенникам увеличить прибыль, получаемую от обманутых жертв.

+22
голоса

Напечатать Отправить другу

Читайте также

 
 
IDC
Реклама

  •  Home  •  Рынок  •  ИТ-директор  •  CloudComputing  •  Hard  •  Soft  •  Сети  •  Безопасность  •  Наука  •  IoT