Выявлена вредоносная программа для Linux-серверов, оформленная в форме модуля к http-серверу Apache

Выявлена вредоносная программа для Linux-серверов

Антивирусная компания ESET сообщила об обнаружении нового вредоносного ПО Linux/Chapro.A, используемого злоумышленниками для организации атак на посетителей сайтов, размещённых на взломанных Linux-серверах. Особенностью Linux/Chapro.A является то, что вредоносный код оформлен в виде модуля для http-сервера Apache, осуществляющего подстановку эксплуатирующих браузеры iframe- или JavaScript-блоков в трафик обслуживаемых сервером сайтов.

Примечательно, что в модуле реализовано несколько техник для скрытия своего присутствия. В частности, модуль использует cookie и лог IP-адресов посетителей для организации внедрения клиенту вредоносного iframe только один раз (при повторных открытиях страницы, на ней не будет вредоносного кода), кроме того модуль не осуществляет подстановку для IP-адресов, с которых были зафиксированы входы по SSH на сервер, что мешает выяснить администраторам каким образом была заражена машина и с какого именно сайта был получен вредоносный код. Модуль также содержит вшитую базу идентификаторов поисковых систем и оставляет страницы нетронутыми, в случае обращения поисковых роботов. Подобная особенность затрудняет массовое выявление поражённых вредоносным модулем серверов и автоматическую пометку об опасности в выводе поисковых систем, пишет opennet.ru.

Внедряемый в страницы iframe-блок нацелен на поражение пользователей Windows и содержит ссылку для загрузки типового комплекта для эксплуатации уязвимостей в Internet Explorer, Adobe Reader и Java-плагине. В случае успешной эксплуатации на машину клиента устанавливается троянское ПО ZeuS (Win32/Zbot) для перехвата паролей и банковских аккаунтов. Вредоносный apache-модуль был выявлен на взломанном сервере в бинарном виде, собранном для 64-разрядных систем. Каким образом был взломан сервер не сообщается, в качестве наиболее вероятного сценария рассматривается утечка SSH-ключей или паролей с машины администратора (для некоторых из взломанных серверов одновременно были выявлены факты взлома машин их администраторов).

Telegram обновился на iPhone: трафик мессенджера стало сложнее отслеживать

Разработчики Telegram выпустили свежее обновление iOS-версии месседжера. Напрямую в описании релиза про это не сказано, но, по данным сообщества разработчиков, в новых версиях Telegram исправили проблему в ClientHello, из-за которой трафик мессенджера легче распознавался системами DPI.

На Android выход версии 12.6.4 подтверждается публичным каналом Telegram APKs, а в App Store для iOS сейчас доступна ветка 12.6.

Самое важное здесь — доработка MTProto, которая должна сделать соединение менее заметным для анализирующих систем и повысить стабильность обходов.

Этот курс прямо подтверждал и Павел Дуров. 4 апреля он заявил, что Telegram будет и дальше адаптироваться к ограничениям, делая свой трафик более сложным для обнаружения и блокировки. По сути, свежие обновления клиентов выглядят как практическое продолжение именно этой линии.

Параллельно Telegram начал заметно жёстче обозначать отношение к сторонним клиентам. В мессенджере появилась специальная отметка рядом с аккаунтами, которые используют неофициальные приложения.

В предупреждении говорится, что такой собеседник пользуется неофициальным клиентом Telegram, а это может снизить защищённость переписки.

На этом фоне особенно показательно выглядит история с Telega — альтернативным клиентом, который позиционировался как способ пользоваться Telegram без VPN в России. Сейчас приложение по-прежнему доступно в Google Play, где у него более 5 млн установок, но из App Store оно исчезло.

RSS: Новости на портале Anti-Malware.ru