Выявлена атака по внедрению бэкдора на web-серверы с lighttpd и nginx

Выявлена атака по внедрению бэкдора на web-серверы с lighttpd и nginx

Специалисты антивирусной компании ESET выявили около 400 серверов, поражённых бэкдором Cdorked, из которых 50 серверов обслуживают сайты, входящие в список 100 тыс. наиболее популярных ресурсов по рейтингу Alexa. Примечательно, что кроме ранее встречавшихся случаев внедрения данного бэкдора в исполняемый файл http-сервера Apache, новая информация свидетельствует об использовании варианта Cdorked, поражающего серверы на базе lighttpd и nginx. В качестве способа проверки внедрения бэкдора, рекомендуется оценить целостность исполняемых файлов httpd, nginx и lighttpd по контрольной сумме (например, "rpm -Va" или "debsums -ca").

Методы работы вредоносного ПО Cdorked схожи с методами ранее выявленных атак, манипулирующих руткитом для ядра Linux или поражающих установки Apache с целью незаметной подмены транзитного трафика, отдаваемого на запросы клиентов. Во всех случаях в отдаваемый клиентам трафик выполняется подстановка эксплуатирующих браузеры iframe- или JavaScript-блоков, предназначенных для массового поражения клиентских систем и их подключение к работе ботнетов. Для скрытия своего присутствия в бэкдоре используется несколько методов, от хранения конфигурации в разделяемой памяти (Cdorked поддерживает удалённое управление), до выборочной отдачи вредоносных вставок (вредоносный iframe показывается клиенту только один раз, игнорируются подсети с которых были зафиксированы входы по SSH на сервер и запросы от поисковых систем), пишет opennet.ru.

Неясным пока остаётся метод внедрения бэкдора на Linux-системы. Ранее в качестве наиболее вероятного варианта рассматривалась эксплуатация уязвимости в панели управления хостингом Cpanel или утечка параметров входа пользователей данной системы. Но среди поражённых серверов выявлены и системы без Cpanel, разительно отличающиеся по программной начинке, поэтому как актуальная гипотеза рассмаривается проникновение на основе индивидуальных атак на серверы, используя различные незакрытые уязвимости или получая доступ через перехват паролей путём сниффинга в локальных сетях.

Подпишитесь на новости

Яндекс не успел продлить страховку ЦОДов от терактов до атак

К моменту октябрьских атак на дата-центры Яндекса страховое покрытие террористических рисков уже закончилось, а продлить его компания не успела. Теперь вопрос о возмещении ущерба остаётся открытым.

Об этом пишут «Ведомости» со ссылкой на трёх собеседников в страховых компаниях и брокере.

По их данным, часть инфраструктуры ранее страховали «Согаз» и «Ингосстрах». Размер покрытия не раскрывается. Яндекс и «Согаз» отказались от комментариев, «Ингосстрах» не ответил.

Источники допускают участие страховщиков в возмещении ущерба, но связывают это с отдельными договорённостями. Поэтому объявлять, что компания гарантированно не получит ничего, пока рано.

Однако даже действующий полис не закрыл бы все потери. Опрошенные страховщики объясняют: покрытие может распространяться на повреждённое имущество, а убытки от остановки бизнеса после атак остаются за его пределами.

По описанным в публикации условиям программы РНПК, страхование таких рисков ограничено шестью месяцами, лимит составляет 10 млрд рублей, франшиза — 50 млн. Простой из-за терроризма, диверсий и атак БПЛА не покрывается.

После атак дата-центры стали для страховщиков гораздо менее комфортными объектами: дорогое оборудование сосредоточено на небольшой площади, а один удар способен вывести из строя значительные мощности.

Получается неприятная арифметика, которая говорит о том, что резервировать нужно не только серверы, но и деньги на восстановление.

RSS: Новости на портале Anti-Malware.ru