Выявлен вредонос Mayhem, поражающий серверы под управлением Linux и FreeBSD

Группа исследователей из компании Яндекс опубликовала результаты анализа нового вредоносного ПО Mayhem, реализующего аналогичные Windows-ботам средства для серверов на базе Linux и FreeBSD, которые могут работать без получения расширенных привилегий, довольствуясь правами пользователя хостинга, полученными после проникновением через эксплуатацию уязвимостей в web-приложениях.

Исследование проведено на основе изучения работы двух управляющих серверов, обслуживающих примерно 1400 инфицированных вредоносным ПО узлов ботнета.

Mayhem примечателен сложной и гибко расширяемой архитектурой. После успешной эксплуатации уязвимости в web-приложении, на сервер загружается PHP-скрипт, производящий инициализацию бота, который выполнен в форме разделяемой библиотеки libworker.so, обладающей достаточно богатой функциональностью. Интерес представляет метод запуска вредоносного ПО: выполняется штатная системная утилита /usr/bin/host с выставленным флагом LD_PRELOAD=libworker.so, при этом в библиотеке libworker.so переопределяется функция exit(). Используемые в процессе работы Mayhem файлы и плагины сохраняются в файле ".sd0", внутри которого создаётся образ ФС в формате FAT (применяется открытая библиотека fat_filelib), сообщает opennet.ru.

Поддерживается приём и отправка команд, работа в роли управляющего сервера или узла ботнета, подключение плагинов, реализованных в форме разделяемых библиотек. Например, доступны плагины для выполнения таких действий, как сканирование сайтов на наличие уязвимостей, которые могут привести к выполнению стороннего PHP-кода, сбор данных о сайтах под управлением WordPress, подбор паролей методом перебора для сайтов под управлением популярных систем управления контентом и панелей управления, подбор параметров FTP-аккаунтов, извлечение различной информации со страниц сайтов.

В статье также приводятся некоторые выводы, обобщающие текущие тенденции:

  • Ботнеты, создаваемые на основе web-серверов, нашли собственную нишу монетизации, связанную с перебросом трафика, применением грязных методов поисковой оптимизации и использованием загрузок для организации атак.
  • Web-серверы более интересны для атаки, чем обычные пользовательские ПК, так как они очень редко перезагружаются, имеют более качественное сетевое соединение и обладают более высокой вычислительной мощностью.
  • На серверах хостинга часто не используются средства автоматической установки обновлений, многие web-мастеры и системные администраторы устанавливают обновления вручную с последующей проверкой корректности работы инфраструктуры.
  • Для типового сайта качественное сопровождение является дорогим удовольствием и web-мастеры не всегда уделяют внимание отслеживанию появления новых выпусков с устранением уязвимостей. Подобная практика приводит к существованию в Сети большого числа уязвимых web-серверов, которые легко атаковать и использовать в ботнете.
  • В *nix-системах не распространено использование антивирусов. Web-мастеры не желают тратить время на изучение руководств по использованию различных систем упреждающей защиты и проверки систем.
Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Microsoft открыла исходный код MS-DOS 4.00, пожирающего оперативку

На этой неделе Microsoft совместно с IBM открыла доступ к исходному коду MS-DOS 4.00 — сборке 1988 года. Эта версия известна своей непопулярностью среди пользователей, ошибками, требовательностью к оперативной памяти и плохой производительностью.

Компания выложила в открытый доступ код MS-DOS 4.00 на страницу Microsoft MS-DOS в GitHub вместе с версиями 1.25 и 2.0, которые пользователи могут скачать еще с 2014 года.

Все версии DOS с открытым исходным кодом были выпущены под лицензией MIT. Предполагалось, что DOS 4.00 должна была добавить многозадачность в ОС, позволяющую запускать программы в фоновом режиме.

Эта версия DOS, которую также иногда называют «MT-DOS» или «Multitasking MS-DOS», была выпущена только несколькими европейскими производителями компьютеров и никогда не была самостоятельным розничным продуктом.

Вышедший на этой неделе исходный код не относится к многозадачной версии DOS 4.00, а специалистам Microsoft не удалось найти полный исходный код для MT-DOS.

Совершенно отдельная версия DOS 4.00 разработана компаниями в основном для добавления дополнительных функций к существующей версии DOS, которая работала на большинстве IBM PC и клонах PC того времени, не обладая при этом многозадачностью.

MS-DOS версий 5.x и 6.x продолжает работать в режиме «одно приложение в одно время», как это было у предыдущих версий. К сожалению, идея многозадачности DOS всё так же не осуществлена. Данная функция стала привилегией графических операционных систем, таких как Windows и OS/2.

Выпущенная версия MS-DOS 4.00 характерна большим потреблением памяти. Она может занимать до 92 КБ RAM, что намного больше, чем 56 КБ, используемых MS-DOS 3.31. Версия 4.01 сократила этот показатель до 86 КБ, а более поздние релизы MS-DOS 5.0 и 6.0 занимали максимум 72 или 73 КБ, и даже PC DOS 2000 от IBM требовала всего 64 КБ.

В те времена это было бы огромной проблемой, так как оперативная память стоила немалых денег, максимальный объем достигал 640 КБ, а виртуальной памяти просто не существовало.

За прошедшие годы компания Microsoft открыла доступ к некоторым другим фрагментам компьютерной истории, включая старые версии MS-DOS, Word for Windows 1.1a, GW-BASIC 1983 года и оригинальный файловый менеджер Windows.

Файловый менеджер Windows, в отличии от других программ, претерпел обновления и сейчас активно поддерживается.

Изначально программа была доработана, чтобы запускаться на современных 64-битных и Arm-компьютерах под управлением Windows 10 и 11, но уже в марте 2024 года ее дополнили новыми исправлениями и функциями.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru