Новый Linux-бэкдор использует API Dogecoin для поиска C2-сервера

Новый Linux-бэкдор использует API Dogecoin для поиска C2-сервера

Новый Linux-бэкдор использует API Dogecoin для поиска C2-сервера

Команда специалистов из компании Intezer Labs проанализировала новый Linux-бэкдор Doki, который теперь входит в арсенал давно действующей киберпреступной группы. С помощью этого вредоноса злоумышленники атакуют веб-серверы и майнят за их счёт криптовалюту.

В отчёте Intezer Labs бэкдор Doki связывают с операциями группировки Ngrok, которая действует как минимум с конца 2018 года.

По словам исследователей, в последних кампаниях злоумышленники атаковали те установки Docker, где стояли открытыми и незащищенными API. Преступникам удавалось развернуть новые серверы внутри облачной инфраструктуры. Далее серверы, работающие на Alpine Linux, заражались вредоносным майнером и Doki.

 

Основная задача нового бэкдора заключается в полном контроле новых серверов Alpine Linux, что позволяет атакующим убедиться в корректности работы криптомайнера. Более того, «под капотом» Doki скрывает функции, отличающие его от привычных бэкдоров.

Самое яркое отличие — метод определения URL командного сервера (C&C), к которому вредоносу необходимо подключиться для получения команд.

Как правило, стандартные вредоносные программы подключаются к IP-адресу или ссылке, жёстко запрограммированным в коде. Doki же использует динамический алгоритм Domain generation algorithms (DGA) и API Dogecoin, которые помогают ему определять адрес C&C. Формат запроса следующий:

https://dogechain.info/api/v1/address/sent/{address}

Таким образом, операторы Doki могут достаточно легко менять командный сервер. Эксперты уточнили, что первые образцы Doki появились на VirusTotal ещё в январе, однако на протяжении шести месяцев вредонос оставался незамеченным.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

InfoWatch зарегистрировала технологию визуализации рабочего дня сотрудника

Группа компаний InfoWatch получила свидетельство о регистрации авторского произведения на технологию «Картина дня сотрудника», подтверждающее её уникальность. Разработка позволяет собирать и визуализировать данные о действиях сотрудников за рабочим компьютером, формируя целостное представление об их активности в течение дня.

Технология создана для использования в DLP-системах и помогает не только предотвращать инциденты информационной безопасности, но и анализировать поведение сотрудников в корпоративной среде.

«Картина дня сотрудника» является частью системы InfoWatch Activity Monitor и использует методы компьютерного зрения и искусственного интеллекта. Сервис преобразует информацию о действиях пользователя — открытых приложениях, документах, сайтах, переходах между ними — в структурированный и наглядный отчёт. Это позволяет находить закономерности и аномалии, которые сложно заметить при ручном анализе.

По словам директора юридического департамента компании Леонида Гусева, технология может быть полезна не только специалистам по информационной безопасности:

«Её можно применять и в кадровых целях — для оценки эффективности работы сотрудников или в качестве доказательной базы при рассмотрении трудовых споров».

Руководитель направления «Центр расследований» Сергей Кузьмин добавил, что система способна анализировать происходящее на экране в динамике:

«Мы научили защитную платформу не просто фиксировать действия, а понимать контекст. Это позволяет видеть картину рабочего дня целиком и упрощает расследование инцидентов».

Технология зарегистрирована в Российском центре оборота прав на результаты творческой деятельности (РЦИС) под названием «InfoWatch Младший аналитик. Сервис „Картина дня сотрудника“».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru