В разговоре с Зеленским Трамп попросил вернуть взломанный Россией сервер

В разговоре с Зеленским Трамп попросил вернуть взломанный Россией сервер

В разговоре с Зеленским Трамп попросил вернуть взломанный Россией сервер

В опубликованных на днях аудиозаписях телефонных переговоров Трампа с главой Украины президент США часто упоминал компанию CrowdStrike, специализирующуюся на кибербезопасности. Чем же так выделяется CrowdStrike?

В 2016 году Национальный комитет Демократической партии США (DNC) нанял CrowdStrike для расследования предполагаемого вторжения в процесс выборов президента США. Компания должна была найти источник этой кибероперации.

Некоторые группы, исповедующие идеологию правого толка, считают, что комитет вместе с CrowdStrike сфальсифицировали доказательства, чтобы вменить России вину за вторжение в выборы США. Именно такой вердикт требовался для дискредитации победы Трампа в 2016 году.

В качестве доказательства сторонники этой теории приводят следующий аргумент: взломанный сервер DNC спрятал на Украине сооснователь CrowdStrike Дмитрий Альперович. В своём интервью Associated Press в 2017 году Дональд Трамп задавался вопросом: почему ФБР не исследовало сервер DNC.

Представители CrowdStrike прокомментировали эти заявления следующим образом:

«Что касается нашего расследования взлома сервера Национального комитета Демократической партии в 2016 году, мы предоставили все собранные доказательства и результаты компьютерной экспертизы ФБР».

«Сервер. Они говорят, он на Украине», — сказал Трамп Зеленскому во время телефонного разговора, если верить записям.

Однако, несмотря на то, что Трамп неоднократно вопрошал, почему сервер DNC пропал и почему ФБР его не изучило, физическое наличие сервера вовсе необязательно. Оказалось, что CrowdStrike предоставила спецслужбе копию того, что было на сервере на момент предполагаемого взлома.

Проанализировав эти данные, независимые эксперты пришли к выводу, что именно Россия стоит за кибервторжением.

Согласно информации, которую приводит Forbes, во время переговоров Трамп попросил у Зеленского вернуть серверы комитета.

Linux-ботнет SSHStalker старомоден: C2-коммуникации только по IRC

Специалисты по киберразведке из Flare обнаружили Linux-ботнет, операторы которого отдали предпочтение надежности, а не скрытности. Для наращивания потенциала SSHStalker использует шумные SSH-сканы и 15-летние уязвимости, для C2-связи — IRC.

Новобранец пока просто растет, либо проходит обкатку: боты подключаются к командному серверу и переходят в состояние простоя. Из возможностей монетизации выявлены сбор ключей AWS, сканирование сайтов, криптомайнинг и генерация DDoS-потока.

Первичный доступ к Linux-системам ботоводам обеспечивают автоматизированные SSH-сканы и брутфорс. С этой целью на хосты с открытым портом 22 устанавливается написанный на Go сканер, замаскированный под опенсорсную утилиту Nmap.

В ходе заражения также загружаются GCC для компиляции полезной нагрузки, IRC-боты с вшитыми адресами C2 и два архивных файла, GS и bootbou. Первый обеспечивает оркестрацию, второй — персистентность и непрерывность исполнения (создает cron-задачу на ежеминутный запуск основного процесса бота и перезапускает его в случае завершения).

Чтобы повысить привилегии на скомпрометированном хосте, используются эксплойты ядра, суммарно нацеленные на 16 уязвимостей времен Linux 2.6.x (2009-2010 годы).

 

Владельцы SSHStalker — предположительно выходцы из Румынии, на это указывает ряд найденных артефактов.

Исследователи также обнаружили файл со свежими результатами SSH-сканов (около 7 тыс. прогонов, все за прошлый месяц). Большинство из них ассоциируются с ресурсами Oracle Cloud в США, Евросоюзе и странах Азиатско-Тихоокеанского региона.

RSS: Новости на портале Anti-Malware.ru