Новый вредоносный майнер для Linux устраняет конкурентов

Новый вредоносный майнер для Linux устраняет конкурентов

Исследователи в области безопасности из компании Trend Micro наткнулись на новое семейство вредоносных майнеров, которые атакуют системы Linux и устанавливают вредоносную программу XMR-Stak Cryptonight. Этот вредонос оказался не таким уж банальным — он устраняет конкурентов на компьютере жертвы.

Отличительная особенность этого злонамеренного майнера заключается в поиске других майнеров (и вредоносных программ в целом) на компьютере жертвы. Если таки программы найдены, зловред будет пытаться их уничтожить.

А причина такого поведения довольно логична — майнер хочет получить максимальную прибыль для своего хозяина, следовательно, не станет делить добытую цифровую валюту с разработками других злоумышленников.

Эксперты Trend Micro обнаружили данный вид вредоносных программ благодаря своим ханипотам. Новый вредонос заимствует некоторые части кода у двух других зловредов: Xbash и KORKERDS.

KORKERDS, к слову, представляет собой криптомайнер, который задействует руткит, чтобы избежать детектирования антивирусными продуктами.

«Как нам удалось обнаружить, вредоносный скрипт способен удалять определенное количество Linux-вредоносов и майнеров, а также обрывать соединения с вредоносными серверами и портами», — пишут эксперты в своем анализе.

«В ходе своей активности вредоносный майнер препятствует удалению и старается сохранить свое присутствие после перезагрузок системы».

По словам исследователей, заражения начались с некоторых IP-камер и веб-сервисов, через порт TCP 8161. Вредоносная программа пытается скрыть свое присутствие в системе путем очистки журнала логов.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Атакующие заражают жертв GandCrab, используя уязвимость в Confluence

Группа киберпреступников активно эксплуатирует критическую уязвимость в Confluence для заражения серверов вымогателем GandCrab. Confluence, разрабатываемая компанией Atlassian, представляет собой тиражируемую вики-систему для внутреннего использования организациями с целью создания единой базы знаний. Написана на Java.

В настоящее время Confluence используется десятками тысяч компаний по всему миру. Обнаруженная уязвимость получила идентификатор CVE-2019-3396, она содержится в Widget Connector, который позволяет пользователям встраивать контент из YouTube, Twitter и других сервисов.

Атакующие могут использовать уязвимость для внедрения вредоносного шаблона и добиться выполнения кода на целевом сервере. Согласно сообщению Atlassian, все версии Confluence Server и Confluence Data Center до 6.6.12, 6.12.3, 6.13.3 и 6.14.2 затронуты этой проблемой безопасности.

Согласно новому отчету компании Alert Logic, код эксплойта для этой уязвимости был опубликован 10 апреля. Киберпреступникам даже не пришлось адаптировать его для атак — все было уже готово.

«Буквально в течение недели после публикации кода эксплойта мы уже наблюдали первые партии взломанных клиентов», — пишет компания.

Вредоносная нагрузка, разворачиваемая атакующими на взломанных серверах, загружает вредоносный скрипт PowerShell, после чего запускает его. Далее загружается кастомизированная версия PowerShell-агента с открытым исходным кодом — Empire (загрузка происходит со страницы Pastebin).

Empire используется для инъекции исполняемого файла len.exe в память запущенного процесса. Исследователи выяснили, что этот файл как раз является вымогателем GandCrab 5.2.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru