Более 4000 серверов ElasticSearch хранят вредоносы для POS-терминалов

Более 4000 серверов ElasticSearch хранят вредоносы для POS-терминалов

Более 4000 серверов ElasticSearch хранят вредоносы для POS-терминалов

Kromtech обнаружил более 4000 серверов ElasticSearch, на которых размещаются файлы, специфичные для двух вредоносных программ, нацеленных на POS-терминалы - AlinaPOS и JackPOS. Исследователи обнаружили эти уязвимые серверы на прошлой неделе во время рутинного сканирования.

Заинтересовавшись первоначальным открытием, команда Kromtech использовала Shodan для выявления более 15 000 серверов ElasticSearch, которые были оставлены онлайн без какой-либо аутентификации.

Из этих 15 000 серверов более 4000 имеют файлы, характерные для инфраструктуры командного центра (C&C) AlinaPOS и JackPOS. Это число слишком велико, чтобы быть просто совпадением, тем более что на серверах размещались панели управления вредоносными программами для POS-терминалов.

Анализ команды Kromtech также показал, что 99% серверов ElasticSearch, зараженных вредоносными программами, были размещены в сервисе Amazon AWS.

«Почему Amazon? Потому что Amazon Web Services позволяет получить бесплатный инстанс t2 micro (EC2) с дисковым пространством до 10 ГБ» - пояснил Боб Дьяченко (Bob Diachenko), главный сотрудник отдела связи Kromtech.

Временные метки файлов показали наличие инфицированных файлов с августа 2016 года. Кроме того, исследователи обнаружили разные пакеты одной и той же вредоносной программы и доказали, что серверы были заражены несколько раз.

«Мы отправили уведомления некоторым пострадавшим компаниям и попытались связаться с Amazon, но ответа пока не получили» - продолжает Дьяченко.

Дьяченко также сказал, что большинство зараженных серверов имеют американские IP-адреса. Кроме того, Kromtech по-прежнему анализирует данные, чтобы уточнить количество истинное зараженных серверов.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Атаки на авиацию выросли на 42%. Особенно опасны вымогатели и старое ПО

В первом полугодии 2025 года количество кибератак на авиационную отрасль в России выросло на 42% по сравнению с тем же периодом прошлого года. Эксперты связывают это с общей геополитической обстановкой и тем, что авиация остаётся одной из самых уязвимых и привлекательных целей для хакеров — как из-за важности самой отрасли, так и из-за доступа к чувствительным данным.

Авиация в России играет ключевую роль в логистике, особенно в труднодоступных регионах.

Поэтому на неё всё чаще нацеливаются не только хактивисты, но и более серьёзные группировки, действующие, в том числе, в интересах иностранных государств. При этом доля деструктивных атак — когда нарушается работа систем или наносится прямой ущерб — выросла на 26%.

Особенно заметен всплеск атак с использованием программ-вымогателей (ransomware) — их стало больше в пять раз по сравнению с первой половиной 2024 года.

У авиакомпаний есть персональные данные пассажиров, информация о маршрутах, платежные данные, и каждый час простоя — это серьёзные убытки. Поэтому злоумышленники делают ставку на то, что компании предпочтут заплатить выкуп.

Ещё одна проблема — специализированное программное обеспечение, которое используется в отрасли. Оно обновляется реже, чем массовые продукты, из-за строгих требований к стабильности и сертификации.

В результате старые уязвимости остаются открытыми дольше, чем следовало бы. По оценкам специалистов, 60% атак в 2025 году были связаны именно с такими компонентами.

Эксперты отмечают, что отрасли стоит уделять больше внимания мониторингу и защите, особенно с учётом того, насколько чувствительны кибератаки для критически важных процессов в авиации.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru