Червь атакует сетевые устройства для добычи криптовалюты

Червь атакует сетевые устройства для добычи криптовалюты

Корпорация Symantec обнаружила новую разновидность червя Linux.Darlloz, нацеленного на так называемый «Интернет вещей» (Internet of Things) роутеры и сет-топы (ресиверы цифрового телевидения). Специалисты обнаружили более 31 000 устройств, подключенных к Интернету и зараженных этим червем.

Кроме того, эксперты Symantec выяснили, что задача новой версии червя – добыча виртуальной валюты. Специалисты компании полагают, что вирусописатель продолжит совершенствовать данную вредоносную программу для повышения ее монетизации.

В ноябре прошлого года специалисты корпорации Symantec обнаружили червь под названием Linux.Darlloz, зона поражения которого – «Интернет вещей» (Internet of Things): жертвой вредоносной программы являются компьютеры, построенные на архитектуре Intel x86, а также ARM, MIPS и Power PC, которые обычно встречаются в роутерах и сет-топах (ресиверы цифрового телевидения). В середине января этого года эксперты компании встретились с новой разновидностью этой программы. Судя по результатам анализа, автор червя постоянно совершенствует код и добавляет новые функции, особенно в плане монетизации вируса.

Специалисты Symantec обнаружили более 31 000 устройств, зараженных червем Linux.Darlloz.

Майнинг виртуальной валюты

Эксперты Symantec обнаружили, что задача данной версии червя – добыча (так называемый «майнинг») криптовалюты. Как только компьютер, построенный на архитектуре Intel, заражается новой версией вируса, червь устанавливает на систему cpuminer − программу для майнинга виртуальной валюты. Затем зараженный компьютер начинает осуществлять добычу одной из двух малопопулярных криптовалют− Mincoin или Dogecoin. К концу февраля 2014 года злоумышленнику удалось таким образом добыть 42438 Dogecoin (около $46 на момент написания) и 282 Mincoin (около $150 на момент написания). Это относительно небольшие суммы денег для киберпреступления, поэтому специалисты Symantec полагают, что вирусописатель продолжит совершенствовать свое детище для повышения его монетизации.

Эта новая функция активируется только на компьютерах с архитектурой Intel x86 и обходит стороной более слабые сетевые устройства. Это связано с тем, что майнинг требует значительных вычислительных ресурсов, которыми такие устройства не располагают.

Почему Mincoin и Dogecoin?

Зараженные вирусом устройства начинают осуществлять майнинг электронных валют под названием Mincoin и Dogecoin, вместо того чтобы заниматься самой популярной и самой ценной криптовалютой Bitcoin. Причина состоит в том, что Mincoin и Dogecoin используют алгоритм шифрования, позволяющий успешно осуществлять майнинг и на домашних компьютерах, в то время как для успешной и более быстрой добычи Bitcoin уже требуется ASIC чип.

Новые цели

Исходная версия Darlloz имела 9 комбинаций «логин − пароль» для роутеров и сет-топов. Последняя версия имеет 13 таких комбинаций, которые также работают и для IP-камер, обычно используемых для видеонаблюдения.

Почему атакуется именно «Интернет вещей»?

Суть «Интернета вещей» заключается в объединении между собой множества разнообразных устройств. В то время как большинство пользователей может обеспечить надежную защиту своего стационарного компьютера, многие из них и не подозревают о том, что другие устройства, подключенные к «Интернету вещей», также нуждаются в защите. В отличие от обычных компьютеров, многие такие устройства поставляются с уже установленными на них по умолчанию комбинациями «логин - пароль», а пользователи, в свою очередь, не удосуживаются их поменять. В результате, использование стандартных комбинаций логина и пароля – один из лучших способов взлома таких устройств. Многие из них содержат также уязвимости, о которых неизвестно пользователям.

На данный момент угроза направлена на компьютеры, роутеры, сет-топы и IP-камеры, однако в будущем в этот список могут войти и другие устройства, такие как, например, устройства−элементы «умного» дома и нательные компьютеры.

Защита от других атак

Как эксперты Symantec писали в предыдущей публикации, червь не дает другим вирусам, таким как, например, Linux.Aidra, атаковать устройства, уже зараженные Linux.Darlloz. Автор этой вредоносной программы включил эту функцию в первую версию червя, появившуюся в ноябре 2013 года.

В начале ноября поступали сообщения о существовании некого бэкдора на ряде роутеров. Используя этот бэкдор, злоумышленники могли удаленно получать доступ к роутеру и заражать сеть. Автор Darlloz воспринял это как угрозу, в результате чего, заражая роутер, червь стал создавать в межсетевом фильтре новое правило, блокирующее порт для этого бэкдора, тем самым блокируя доступ другим злоумышленникам.

Распространение Darlloz в Интернете

Заразив устройство, Darlloz запускает веб-сервер на порте 58455, при помощи чего затем осуществляет самораспространение через Интернет. На сервере размещаются файлы вируса, которые загружаются на компьютер любого, кто подаст запрос HTTP GET по этому адресу. Мы искали статичные IP-адреса, где был открыт этот порт и где были размещены файлы Darlloz. Исходя из того, что Darlloz можно скачать, мы попытались собрать интернет-отпечатки серверов, на которых он был размещен. Мы получили следующие данные:

  • было обнаружено 31 716 IP-адресов, зараженных червем Darlloz;
  • атаке подверглись компьютеры и устройства в 139 точках земли;
  • с зараженных IP-адресов было собрано 449 «отпечатков»ОС;
  • 43% жертв Darlloz – это компьютеры на основе процессоров Intel и серверы под управлением Linux;
  • 38% устройств, зараженных Darlloz, – это различные сетевые устройства, включая роутеры, сет-топы, IP-камеры и принтеры.

Пять основных регионов заражения червем Darlloz (в сумме половина от общего числа заражений) – это Китай, США, Южная Корея, Тайвань и Индия. Такое распределение, вероятно, связано с числом интернет-пользователей в этих регионах, а также с распространением там сетевых устройств.

Зараженные сетевые устройства

Многие пользователи и не подозревают, что их сетевые устройства могут стать объектами атаки. Именно поэтому за четыре месяца червю удалось заразить 31 000 компьютеров и сетевых устройств, и эта цифра растет. Мы полагаем, что автор Darlloz будет и дальше совершенствовать свое детище, снабжая его все новыми возможностями, по мере того как будет меняться среда. Специалисты Symantec продолжат следить за этой угрозой. 

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Использование порнодипфейков становится одним из приемов кибербуллинга

Использование нейросетевых технологий для создания порнографических дипфейков сверстников стало широко распространённой практикой в разных странах. Эксперты предупреждают, что подобные случаи могут массово появиться и в России — предпосылки к этому уже есть, а надёжных механизмов противодействия пока не существует.

На проблему активного распространения дипфейков с интимным содержанием как формы подросткового кибербуллинга обратил внимание Центр киберполитики Стэнфордского университета. Ни законодательство, ни школа, ни родители, ни правоохранители пока не готовы к системной реакции на эту угрозу.

В России проблема кибербуллинга также стоит остро. Согласно исследованию проекта «#МЫСЧИТАЕМ», каждый пятый школьник сталкивался с травлей в интернете. По данным центра «Безопасность 2.0», на кибербуллинг приходится 23% всех сетевых конфликтов.

Одна из самых распространённых форм такой травли — это распространение фотомонтажей. Однако, как отмечает Александр Вураско, директор по развитию центра мониторинга внешних цифровых угроз, на смену им может прийти использование нейросетей:

«Если раньше для создания фейкового изображения требовались навыки работы с графикой, то теперь достаточно пары кликов — нейросеть сама сгенерирует нужное фото или даже видео. Подростки вполне могут начать использовать дипфейки как способ давления. Такие случаи, скорее всего, уже фиксировались в России, и их будет становиться больше».

Ранее СМИ сообщали об использовании интимных материалов, в том числе сфабрикованных, для шантажа, вымогательства или мести. Как правило, жертвами становились публичные или обеспеченные люди, а также участники острых личных конфликтов.

Павел Коваленко, директор Центра противодействия мошенничеству, отмечает, что современные инструменты позволяют легко «подтвердить» любую сплетню, усиливая давление на жертву. По словам эксперта по социотехническому тестированию Якова Филевского, несмотря на санкции, доступ к таким инструментам сохраняется — в том числе у подростков.

Особую тревогу вызывает эмоциональная уязвимость подростков. Как подчёркивает Вураско, в случае с дипфейками травля может перейти за пределы онлайна и серьёзно повлиять на психоэмоциональное состояние ребёнка.

«Распространение подобных материалов может привести к социальной изоляции жертвы. Не все способны отличить дипфейк от реальности, и это ведёт к травмам, ощущению враждебности и несправедливости», — добавляет Коваленко.

В качестве основных мер защиты эксперты называют повышение осведомлённости. Подростки должны понимать, что подобные действия могут разрушить чью-то жизнь. Также необходимо развивать цифровую грамотность — в том числе навыки распознавания дипфейков. Их могут выдать искажённый фон, странная мимика, неестественные движения или артефакты звука.

Филевский советует не выкладывать в открытый доступ фотографии в откровенных образах, например в купальнике — такие снимки проще всего использовать для создания дипфейков интимного характера.

Екатерина Едемская, инженер-аналитик в области ИБ, подчёркивает важность поддержки подростков, ставших жертвами подобных атак. Важно, чтобы ребёнок чувствовал, что его защищают, а не обвиняют. Обязательно нужна и психологическая помощь — дипфейк с интимным содержанием способен вызвать серьёзную травму.

Также специалист рекомендует сохранять доказательства: ссылки, скриншоты, имена пользователей и адреса страниц. Эти материалы помогут обратиться в администрацию школы, к родителям и в правоохранительные органы. Кроме того, важно подать жалобы в администрацию интернет-платформ, где размещён вредоносный контент.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru