Μια νέα έκδοση ενός crypto-mining malware Linux που είχε χρησιμοποιηθεί στο παρελθόν για τη στόχευση containers Docker το 2020 τώρα επικεντρώνεται σε νέους παρόχους υπηρεσιών cloud όπως το Huawei Cloud.
Δείτε επίσης: FontOnLake malware: Στοχεύει Linux συστήματα μέσω trojanized utilities
Η ανάλυση της νέας καμπάνιας προέρχεται από ερευνητές της TrendMicro, οι οποίοι εξηγούν πώς το malware έχει εξελιχθεί με νέες δυνατότητες διατηρώντας παράλληλα την προηγούμενη λειτουργικότητά του.
Πιο συγκεκριμένα, τα νεότερα δείγματα σχολίασαν τη λειτουργία δημιουργίας κανόνων firewall (αλλά εξακολουθεί να υπάρχει) και συνεχίζουν να κάνουν drop έναν σαρωτή δικτύου για να χαρτογραφήσουν και άλλα hosts με θύρες σχετικές με το API.
Ανακαλύψτε το Νέο Ανθρωποειδές Ρομπότ GR-2!
Ωστόσο, η νέα έκδοση malware στοχεύει μόνο σε περιβάλλοντα cloud και τώρα αναζητά και αφαιρεί άλλα cryptojacking scripts που ενδέχεται να είχαν μολύνει στο σύστημα στο παρελθόν.
Αφού αφαιρέσουν χρήστες που δημιουργήθηκαν από άλλους απειλητικούς φορείς, οι χάκερ προσθέτουν τους δικούς τους χρήστες, ένα κοινό βήμα για πολλούς κρυπτοεπιχειρητές που στοχεύουν στο cloud. Ωστόσο, σε αντίθεση με πολλούς άλλους cryptominers, το malware προσθέτει τους λογαριασμούς των χρηστών τους στη λίστα sudoers, δίνοντάς τους πρόσβαση root στη συσκευή.
Δείτε επίσης: ShellClient Malware: Χρησιμοποιείται σε αεροδιαστημικές εταιρείες
Για να διασφαλιστεί ότι διατηρείται η επιμονή στη συσκευή, οι επιτιθέμενοι χρησιμοποιούν το δικό τους κλειδί ssh-RSA για να εκτελέσουν τροποποιήσεις συστήματος και να αλλάξουν τα δικαιώματα αρχείου σε κατάσταση locked.
Αυτό σημαίνει ότι ακόμη και αν κάποιος άλλος χάκερ αποκτήσει πρόσβαση στη συσκευή στο μέλλον, δεν θα μπορεί να αναλάβει τον πλήρη έλεγχο του ευάλωτου μηχανήματος.
Οι χάκερ εγκαθιστούν την proxy service Tor για την προστασία των επικοινωνιών από τον εντοπισμό και τον έλεγχο σάρωσης δικτύου, περνώντας όλες τις συνδέσεις μέσω αυτής για ανωνυμοποίηση.
Τα binaries που “πέφτουν” (“linux64_shell”, “ff.sh”, “fczyo”, “xlinux”) διαθέτουν κάποιο επίπεδο obfuscation και η TrendMicro έχει δει σημάδια του UPX packer που έχει χρησιμοποιηθεί για το wrapping.
Οι χάκερ έχουν προχωρήσει περαιτέρω για να συντονίσουν τα binaries για “stealthiness” έναντι αυτοματοποιημένων εργαλείων ανάλυσης και ανίχνευσης.
Δείτε επίσης: Πώς ένα σφάλμα coding μετατρέπει τα AirTags σε διανομείς malware
Αφού αποκτήσουν έδαφος σε μια συσκευή, τα scripts του χάκερ θα εκμεταλλευτούν απομακρυσμένα συστήματα και θα τα μολύνουν με τα κακόβουλα scripts και cryptominer.
Τα γνωστά τρωτά σημεία που σαρώθηκαν κατά τη διάρκεια αυτής της επίθεσης περιλαμβάνουν:
- Ασθενείς κωδικοί πρόσβασης SSH
- Ευπάθεια στο προϊόν Oracle WebLogic Server του Oracle Fusion Middleware (CVE-2020-14882)
- Μη εξουσιοδοτημένη πρόσβαση Redis ή αδύναμα passwords
- Μη εξουσιοδοτημένη πρόσβαση PostgreSQL ή αδύναμος κωδικός πρόσβασης
- Ασθενής κωδικός πρόσβασης SQLServer
- Μη εξουσιοδοτημένη πρόσβαση MongoDB ή αδύναμος κωδικός πρόσβασης
- Ασθενής κωδικός πρόσβασης πρωτοκόλλου μεταφοράς αρχείων (FTP)
Πηγή πληροφοριών: bleepingcomputer.com
