Майнер распространяется через уязвимость в PHP-плагине Weathermap

Майнер распространяется через уязвимость в PHP-плагине Weathermap

Майнер распространяется через уязвимость в PHP-плагине Weathermap

Исследователи Trend Micro наткнулись на вредоносный майнер, который использует уязвимость в PHP-плагине Weathermap для распространения. Зловред, добывающий цифровую валюту атакует серверы Linux.

Основываясь на результатах мониторинга, эксперты нашли общие черты с уже встречавшейся ранее вредоносной кампанией, в которой принимал участие зловред JenkinsMiner. Разница лишь в том, что новая кампания атакует системы Linux. Примечательно, что злоумышленники используют давно устраненную уязвимость, патч для которой доступен уже почти пять лет.

На графике, представленном ниже, видно, как возрастало количество кибератак с декабря прошлого года по март нынешнего. Также можно наблюдать наиболее атакуемые страны.

Что касается используемой бреши, то речь идет о баге в плагине Weathermap (CVE-2013-2618), который системные администраторы используют для визуализации сетевой активности. Специалисты предполагают, что киберпреступники используют эту брешь из-за доступного эксплойта, рассчитывая на то, что некоторые организации просто не обновили свои системы.

Злонамеренный код создан таким образом, что загруженный вредоносный файл будет запускаться каждые три минуты. Помимо этого, зловред модифицирует параметр ядра Linux vm.nr_hugepages для майнинга криптовалюты Monero (XMR). Также майнер контролирует, чтобы вредоносный процесс был запущен, если он по какой-то причине завершен, вредонос перезапустит его.

Сам майнер детектируется компанией Trend Micro как COINMINER_MALXMR.SM-ELF64, он загружается с того же серврера, что и первоначальный пейлоад, получивший имя watchd0g.sh.

Эксперты проанализировали пять различных образцов, используемых в этой кампании, благодаря чему удалось найти связь с кошельками Monero. По данным исследователей, атакующим удалось собрать 320 XMR, что равно приблизительно 74 677 долларам США. Причем были проанализированы лишь два кошелька, связь с которыми удалось установить. Специалисты полагают, киберпреступники заработали гораздо больше.

В сервисах Яндекса произошел массовый сбой

В работе сервисов Яндекса и компаний, использующих его инфраструктуру, произошёл масштабный сбой. Ряд экспертов связал возникшие проблемы с противодействием работе Telegram. Резкий рост числа жалоб от пользователей Яндекса, Кинопоиска и СДЭК начался около 12:15 по московскому времени.

Судя по данным сервиса Сбой.РФ, проблемы у этих платформ начались чуть позже. Однако, как сообщил телеграм-канал «Код Дурова», сам он также некоторое время не работал.

Жалобы пользователей связаны с недоступностью сервисов Яндекса, включая поиск. Проблемы затронули и некоторые мобильные приложения. В целом, по статистике обоих сервисов, отслеживающих сетевые сбои, большая часть обращений — более 80% — поступает от мобильных пользователей, причём почти все они используют устройства на Android.

При этом страница «Яндекс Старт» у части пользователей всё же открывается. У автора этих строк, например, были доступны почта и «Яндекс Документы».

В «Коде Дурова» провели прямую аналогию с ситуацией 2018 года. Тогда действия Роскомнадзора по блокировке Telegram также привели к сбоям в работе множества сторонних сервисов.

В 2025 году сервисы Яндекса уже дважды сталкивались с массовыми сбоями. И в марте, и в ноябре причиной становились технические проблемы в инфраструктуре. Наиболее масштабным оказался мартовский инцидент: он был связан с аварией в подсистеме энергоснабжения одного из центров обработки данных.

RSS: Новости на портале Anti-Malware.ru