Damballa подвела итоги 2010 года в секторе вредоносных сетей

Согласно отчету компании, ботнеты, используемые в целях хищения учетных данных для онлайн-банкинга и совершения других противозаконных деяний, продемонстрировали заметный прогресс. В частности, по сравнению с предыдущим годом многократно возросла численность компьютеров, инфицированных бот-клиентами.



В документе говорится, что в течение года 10 крупнейших вредоносных сетей ощутимо увеличили свою долю на теневом рынке. Если в начале года им принадлежали лишь 22% всех зомби-машин в мире, то к его концу значение соответствующего параметра почти утроилось - 57%. Что же касается суммарного количества пораженных персональных компьютеров, ассоциированных с теми или иными ботнетами, то за 2010 год оно стало на 654% больше - почти семикратный рост (в среднем около 8% в месяц).


Специалисты Damballa связывают столь впечатляющий (или, быть может, лучше сказать - ужасающий?) подъем показателей с массовым распространением конструкторов вредоносных сетей - своеобразных "наборов юного оператора", которые позволяют оперативно и без особых усилий строить ботнеты. Справедливость этого заключения можно подтвердить фактами: когда компания составила рейтинг десяти крупнейших 'игроков' этого сектора по итогам 2010 года, оказалось, что в году предстоявшем (2009) шести из них попросту еще не существовало в природе. Свою роль, по мнению экспертов, сыграли и новые достижения вирусописательской мысли - например, запись вредоносного кода в MBR жесткого диска и последующее изменение настроек загрузки.


Стоит заметить, что ассортимент конструкторов, предлагаемых поставщиками теневого рынка,  действительно широк и разнообразен - обновленный вариант Zeus, "Phoenix", "Darkness", "BlackEnergy", "Eleonore"... В результате злоумышленники более не трудятся над написанием своего кода, а просто покупают готовый, тем самым заметно ускоряя свои, так сказать, "бизнес-процессы".


Впрочем, с отчетом Damballa согласны не все. Например, свое мнение у недавно купленной Dell компании Secure Works - ее специалисты, подготовившие доклад об эволюции вредоносных сетей, уверены, что интенсивность развития ботнетов замедлилась, и в особенности это касается систем рассылки мусорной корреспонденции.


Однако кое в чем сомнений нет: бот-клиенты применяют все более изощренные методы и приемы самосокрытия, избегая обнаружения и последующего выведения из строя. Например, небезызвестный Rustock, инфицировав компьютер жертвы, не сразу принимается за отправку спам-сообщений, а 'терпеливо' ждет пять дней, чтобы ввести пользователя в заблуждение относительно источника инфекции. Иными словами, компьютерный вирус решил поучиться у вирусов настоящих и обзавелся полноценным инкубационным периодом.


The Register

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Серверы Redis атакует новый Golang-зловред

Эксперты Aqua Security обнаружили на ловушках новую вредоносную программу, нацеленную на серверы Redis. Поскольку зловред написан на Go, ему было присвоено кодовое имя Redigo. Для внедрения используется критическая RCE-уязвимость, устраненная еще в феврале.

Данная проблема (CVE-2022-0543, 10 баллов из 10 возможных по CVSS) позволяет обойти песочницу для Lua-скриптов в Redis и выполнить сторонний код на удаленном хосте. Уязвимость актуальна для некоторых вариантов Debian и Ubuntu и была устранена обновлением Redis-пакета до версии 5.6.0.16.-1.

Тем не менее, злоумышленники до сих пор пытаются использовать эту лазейку. Их рвение подогревает доступность PoC-экспойта.

Атака Redigo, согласно результатам анализа, начинается со сканирования портов 6379, используемых Redis. Обнаружив открытый порт, хакеры пытаются подключиться и запустить выполнение следующих команд:

  1. INFO — получение информации о сервере, в том числе о наличии CVE-2022-0543;
  2. SLAVEOF — создание реплики сервера атакующих;
  3. REPLCONF — настройка внешнего соединения для этой копии;
  4. PSYNC — запуск потока репликации с мастер-сервера; подобный бэкдор используется, в числе прочего, для разделяемого объекта exp_lin.so (сохраняется на диске);
  5. MODULE LOAD — загрузка модуля exp_lin.so для проведения эксплойта;
  6. SLAVEOF NO ONE — отключение репликации; в результате реплика получает статус мастер-сервера.

Библиотека exp_lin.so не только запускает эксплойт, но также обеспечивает выполнение дальнейших команд. С этой целью в файл, по словам исследователей, включена реализация system.exec. Используя эту функциональность, авторы атаки получают информацию об архитектуре CPU, а затем загружают Redigo, повышают привилегии зловредного файла и запускают его на исполнение.

 

Поскольку на ловушках Aqua время атаки ограничено, последствия заражения выявить не удалось. Эксперты не исключают, что целью злоумышленников может являться приобщение Redis-сервера к ботнету для проведения DDoS-атак, криптоджекинга или кражи данных.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru