Новый бэкдор охотится за самым популярным веб-сервером в мире

Новый бэкдор охотится за самым популярным веб-сервером в мире

Производитель антивирусного программного обеспечения Eset обнаружил вредоносную кампанию в интернете, использующую бэкдор для популярных веб-серверов Apache и имеющих своей целью перенаправить пользователей на вредоносный сайт с набором эксплоитов для платформы BlackBerry. В Eset говорят, что обнаружили вредоносную кампанию еще в пятницу и за минувшие несколько дней в ней уже оказались охвачены "многие сотни" сайтов.



Ригхард Цвайненберг, старший специалист по ИТ-безопасности Eset, говорит, что указанный бэкдор получил название Linux/Cdorked.A и представляет собой одну из наиболее продвинутых атак в адрес сервера Apache, так как рассчитана она на серверное использование. На веб-серверах достаточно редко устанавливают антивирусы, но сами веб-серверы могут обслуживать сотни тысяч клиентов в сутки, поэтому ущерб от подобной атаки может быть очень существенным, пишет cybersecurity.ru.

В Eset готоворят, что для проникновения в целевую серверную систему вредоносный код применяет хитроумную систему теневых HTTP-запросов, которые в ряде случаев открывают доступ к серверному ПО, но не оставляют запросов в apache-логах на веб-сервере, что значительно затрудняет выявление взлома администраторами. После проникновения на сервер через ряд HTTP-POST-запросов бэкдор начинает выполнение своей основной задачи.

"В случае с Linux/Cdorked.A проблема заключается в том, что этот код не оставляет следов на скомпрометированной машине и не модифицирует исполняемые файлы httpd, что затрудняет выявление факта взлома", - говорят в Eset.

По словам антивирусной компании, выявить факт компрометации сервера можно либо при помощи ручного исследования файлов, либо при помощи посещения всех обслуживаемых сервером сайтов и поиска несанкционированных редиректов, либо путем установки антивируса на сервер, либо путем сложного дебаггинга памяти работающего сервера. Многие из перечисленных решений на современных серверах, обслуживающих десятки или даже сотни сайтов, просто невозможны.

Сообщается, что зараженные сайты ведут пользователей на несколько вредоносных ресурсов, связанных с эксплоитом Blackhole. В Eset говорят, что уже сейчас несколько сотен серверов заражено кодом, тогда как количество взломанных сайтов, скорее всего, идет на тысячи.

"Атака особенно опасна в свете того, что Apache - это самый популярный сервер в мире. Кроме того, многие серверы не обслуживаются антивирусами, поэтому точно говорить о масштабах заражения просто невозможно", - говорят в Eset.

В самой антивирусной компании говорят, что впервые наткнулись на указанный вредоносный код, когда обнаружили факты взлома сайтов двух известных неназванных компаний.

Windows требует включить антивирус, который уже работает

Microsoft подтвердила ошибку в Microsoft Defender: Windows показывает уведомление «Включите защиту от вирусов», хотя антивирус уже работает и защита в реальном времени активна. Предупреждения появляются после последних обновлений Defender, при запуске компьютера или прямо во время работы. Фикса пока нет.

Нажатие на уведомление ничего не исправляет и просто открывает главную страницу приложения «Безопасность Windows». Можно закрыть баннер, но вскоре он способен вернуться с тем же посылом.

Проблема затрагивает Windows 11 версий 23H2, 24H2 и 25H2, а также Windows 10 и выпуски Windows Server с актуальным Microsoft Defender. Ошибка связана именно с обновлением антивируса, а не с конкретной сборкой операционной системы.


Особенно назойливо ведёт себя система уведомлений: предупреждения обходят общие настройки Windows и продолжают появляться даже при включённом режиме «Не беспокоить». Microsoft работает над исправлением и обещает выпустить его с одним из следующих обновлений Defender, но сроков пока не называет.

Автоматически считать любой такой баннер ложным всё же не стоит, похожие сообщения могут показывать и вредоносные программы. Проверить защиту можно в разделе «Безопасность Windows» → «Защита от вирусов и угроз». Параметр «Защита в реальном времени» должен быть включён.

Для дополнительной проверки в PowerShell можно выполнить:

Get-MpComputerStatus | Select-Object AntivirusEnabled,RealTimeProtectionEnabled,AMServiceEnabled

Если напротив всех трёх параметров указано True, Defender работает, а предупреждение можно игнорировать.

RSS: Новости на портале Anti-Malware.ru