В сети обнаружен новый кроссплатформенный троян

В сети обнаружен новый кроссплатформенный троян

Исследователи в области безопасности предупреждают о появлении в сети очередной разработки вирусописателей. Троян, известный как Crisis или Morcut, не только одинаково опасен как для операционной системы OS X, так и для Windows, но и довольно сложен в обнаружении.

Итак, по словам специалистов, установочный пакет вредоносного кода доставляется на компьютер жертвы посредством AdobeFlashPlayer.jar. По сути сам архив JAR является аналогом ZIP, но используется специально для архивирования установочных пакетов Java программ. Таким образом, в архиве могут содержаться все необходимые библиотеки, исполняемые файлы программ, конфигурационные данные, изображения и другие необходимые файлы.

Так, внутри этого архива исследователи обнаружили файл с расширением .class, с названием WebEnhancer, а также два ничем непримечательных файла win и mac. Важно отметить, что апплет WebEnhancer сам по себе не представляет никакой опасности, но его основной задачей является определение установленной операционной системы. Тем не менее именно он вызывает подозрение у системы безопасности операционной системы, которая сообщает об этом пользователю в диалоговом окне.

В результате проведенного анализа кода исследователи выяснили, что Morcut состоит из нескольких компонентов. В частности, компонент драйверов ядра системы, которые позволяют трояну оставаться незамеченным; компонент бэкдора, который позволяет загружать на компьютер другие вредоносные программы; панель управления, благодаря которой он получает инструкции от своего хозяина, собирает необходимые данные.

Во избежание возможного заражения, специалисы рекомендуют пользователям обновить свое программное обеспечение до актуального состояния, а также следить за регулярным обновлением баз данных антивирусных приложений. Особенно следует быть внимательным пользователям операционных систем OS X 10.6 Snow Leopard и OS X 10.7 Lion.



AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Кто-то запустил в контейнерные среды сетевого червя для майнинга Dero

Эксперты «Лаборатории Касперского» выявили эпидемию криптоджекинга в контейнерных средах. Авторы атак проникают в инфраструктуру через открытые API Docker и внедряют майнер Dero, а также сетевого червя для дальнейшего распространения инфекции.

В зоне риска — ИТ-компании, облачные и хостинг-провайдеры, не уделяющие должного внимания защите API Docker и контролю над такими интерфейсами.

Получив первоначальный доступ, злоумышленники не только заражают существующие контейнеры, но также создают новые на основе стандартного образа Ubuntu и внедряют в них двух написанных на Go вредоносов с безобидными именами cloud и nginx.

Первый представляет собой кастомный майнер Dero (результат VirusTotal33/65 по состоянию на 22 мая), второй — ранее неизвестный Linux-троян, отвечающий за обеспечение бесперебойной добычи криптовалюты, а также за проведение веб-атак на другие сети.

Поиск незащищённых контейнерных сред осуществляется автоматически с помощью утилиты masscan. Подобная организация атак снимает необходимость в использовании C2-сервера.

 

«Такой метод может привести к огромному росту числа заражений, — предупреждает Виктор Сергеев, возглавляющий команду Kaspersky Incident Response. — Каждый скомпрометированный контейнер — это потенциальный источник кибератак, если в сетях, которые могут стать мишенью, не будут заблаговременно приняты меры безопасности».

Примечательно, что в текущей кампании используются узлы Dero и кошелек, засветившиеся два года назад в криптоджекинг-атаках на кластеры Kubernetes.

Поиск по Shodan, проведенный экспертами в прошлом месяце, выявил в интернете 520 доступных API Docker, опубликованных на порту 2375. Угроза актуальна также для России и стран СНГ.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru