Μια ενεργή κακόβουλη καμπάνια στοχεύει επί του παρόντος συσκευές Linux που τρέχουν software με κρίσιμες ευπάθειες. Ο σκοπός της είναι να μολυνθούν συστήματα που τρέχουν ευάλωτες εκδόσεις του δημοφιλούς λειτουργικού συστήματος TerraMaster, του Zend Framework (Laminas Project) ή του Liferay Portal με το malware FreakOut, βοηθώντας στην ανάπτυξη μιας ευρείας καμπάνιας κυβερνοεπιθέσεων.
“Χτυπώντας” unpatched συστήματα Linux
Ο κοινός λόγος που και οι τρεις λύσεις software είναι στόχος της τρέχουσας καμπάνιας του FreakOut είναι ότι όλες έχουν μια μεγάλη βάση χρηστών και εξακολουθούν να είναι ευάλωτες σε κάποια ευπάθεια.
Το Zend Framework είναι μια συλλογή επαγγελματικών πακέτων PHP που καλύπτουν πάνω από 570 εκατομμύρια εγκαταστάσεις. Η έκδοση 3.0.0, ωστόσο, έχει ένα κρίσιμο σφάλμα (CVE-2021-3007) που θα μπορούσε να αξιοποιηθεί για να επιτευχθεί απομακρυσμένη εκτέλεση κώδικα.
Βόρεια Κορέα: Κλάπηκαν crypto αξίας $ 659 εκατ. το 2024
Το Liferay Portal είναι μια πλατφόρμα για προγραμματιστές Java για τη δημιουργία υπηρεσιών, user interfaces, την προσαρμογή εφαρμογών ή για την υλοποίηση έτοιμων. Όλες οι ανοιχτού κώδικα εκδόσεις Community πριν από την 7.2.1 έχουν μια κρίσιμη ευπάθεια (CVE-2020-7961) που επιτρέπει την απομακρυσμένη εκτέλεση αυθαίρετου κώδικα.
Το TerraMaster είναι το λειτουργικό σύστημα που τροφοδοτεί τις συσκευές NAS. Η έκδοση 4.2.06 και οι προηγούμενες της υποφέρουν από σφάλμα εκτέλεσης εντολών απομακρυσμένης εντολής (CVE-2020-28188, επίσης κρίσιμη σοβαρότητα) που επιτρέπει στους χάκερ να αναλάβουν τον πλήρη έλεγχο της συσκευής.
Οι ερευνητές ασφαλείας της Check Point ανακάλυψαν τις επιθέσεις του FreakOut και λένε ότι οι μολυσμένες συσκευές Linux μολύνονται με ένα botnet που θα μπορούσε να βοηθήσει στην ανάπτυξη άλλων κυβερνοεπιθέσεων. Λένε ότι ο controller θα μπορούσε να χρησιμοποιήσει τα μολυσμένα μηχανήματα για να εξορύξει cryptocurrency, να εξαπλωθεί πλευρικά σε ένα εταιρικό δίκτυο ή να στοχεύσει άλλους στόχους ενώ παριστάνει την παραβιασμένη εταιρεία.
Το malware FreakOut είναι νέο στην αγορά και μπορεί να χρησιμεύσει για σάρωση θυρών, να συλλέξει πληροφορίες, να κάνει network sniffing ή να ξεκινήσει επιθέσεις DDoS.
Η μόλυνση ξεκινά με την εκμετάλλευση μιας από τις τρεις κρίσιμες ευπάθειες και συνεχίζει με τη μεταφόρτωση ενός script Python (out.py) στον παραβιασμένο υπολογιστή. Ο εισβολέας προσπαθεί να εκτελέσει το script χρησιμοποιώντας το Python 2, το οποίο έφτασε στο τέλος της ζωής του το 2020.
Το Check Point ανακάλυψε την επίθεση στις 8 Ιανουαρίου 2021, όταν παρατήρησαν τη λήψη του κακόβουλου script από το hxxp://gxbrowser[.]net. Έκτοτε οι ερευνητές εντόπισαν εκατοντάδες απόπειρες λήψης του κώδικα.
Πηγή πληροφοριών: bleepingcomputer.com
