Группировка 8220 уже давно устанавливает криптомайнеры на Linux-серверы

Группировка 8220 уже давно устанавливает криптомайнеры на Linux-серверы

Группировка 8220 уже давно устанавливает криптомайнеры на Linux-серверы

Специалисты Microsoft обнаружили кампанию киберпреступников, атакующих серверы на Linux и устанавливающие вредоносный криптомайнер. Эта группировка отслеживается под именем 8220, а её активность уходит корнями в 2017 год.

Об атаках 8220 команда Microsoft Security Intelligence сообщила в Twitter:

«Злоумышленники устанавливают новую версию криптомайнера и IRC-бот. Чтобы пробраться на целевые серверы, преступники задействуют эксплойт для недавно выявленной уязвимости».

Кибергруппа 8220 получила своё имя от порта под таким же номером, который используется для связи майнера с командными серверами (C2). Участники группировки, судя по всему, говорят на китайском языке.

Как отметили исследователи из Microsoft, за последний год киберпреступники существенно модернизировали свои подходы и пейлоады. Например, в последней кампании злоумышленники атакуют системы Linux (i686 и x86_64) и используют эксплойт для RCE-уязвимостей CVE-2022-26134 (затрагивает Atlassian Confluence) и CVE-2019-2725 (затрагивает WebLogic).

После того как хакеры пробираются в систему с помощью этих брешей, они устанавливают загрузчик с ресурса jira[.]letmaker[.]top. Вредонос пытается уйти от детектирования, очищая логи и отключая инструменты облачного мониторинга.

Далее загружается криптомайнер pwnRig (версия под номером 1.41.0) и IRC-бот, получающий команды от C2-сервера. Закрепиться в системе зловреду помогает либо задача CronJob, либо скрипт, который запускается каждые 60 секунд.

Microsoft рекомендует организациям максимально защитить серверы, установить все доступные обновления и использовать Microsoft Defender for Endpoint для детектирования киберугрозы.

Минцифры предложило хостерам самим вычислять VPN под прикрытием

Минцифры РФ обсуждает усиление контроля за VPN-сервисами, которые маскируются под легитимные ресурсы и прячут свои IP-адреса от блокировок. Вычислять таких хамелеонов хотят силами хостинг-провайдеров. Сейчас адреса добросовестных сервисов вносят в специальный список, чтобы случайно не отправить их под блокировку.

Однако той же лазейкой пользуются VPN-приложения для обхода сетевых ограничений.

В итоге вместе с законопослушными ресурсами защиту получают и те, ради кого фильтры вообще строились.

Исправить ситуацию предлагают просто: провайдеры должны самостоятельно выявлять подозрительные IP-адреса и передавать сведения регулятору, сообщает РБК.

После этого адрес могут заблокировать, а его владельца — попросить доказать, что сервис действительно легитимный, а не VPN в накладных усах.

Параллельно Минцифры рассматривает градацию доверия к клиентам хостинга. Если человек подтвердил личность только телефоном или банковской картой, при нарушении его услуги смогут отключить за 30 минут. Аутентификация через «Госуслуги», Единую биометрическую систему или полноценный договор даст клиенту время исправить проблему.

Хостеров с поверхностной идентификацией пользователей и частыми нарушениями могут признать недобросовестными, а их IP-подсети — ограничить. Клиентам оставят доступ только к ресурсам из белого списка: госпорталам, банкам и маркетплейсам. Интернет в таком случае превратится в небольшой коридор между «Госуслугами» и оплатой покупок.

Участники рынка предупреждают о побочных эффектах. Жёсткие ограничения могут усилить дефицит IP-адресов и подтолкнуть клиентов к зарубежным хостерам. То есть охота на замаскированные VPN рискует заодно выпроводить из страны вполне обычный бизнес.

RSS: Новости на портале Anti-Malware.ru