Gitpaste-12: самоходный Linux-бот, вооруженный десятком эксплойтов

Gitpaste-12: самоходный Linux-бот, вооруженный десятком эксплойтов

Gitpaste-12: самоходный Linux-бот, вооруженный десятком эксплойтов

Исследователи из Juniper Networks обнаружили скриптового Linux-зловреда, обладающего функционалом червя. Анализ показал, что для самораспространения Gitpaste-12, как его нарекли в Juniper, использует брутфорс и эксплойты. Новоявленный бот также умеет загружать дополнительные модули, обращаясь к GitHub и Pastebin.

В поле зрения экспертов Gitpaste-12 впервые попал 15 октября. Судя по коммитам, которые изучили в Juniper, коды нового зловреда появились на GitHub в начале июля. Исследование образцов шелл-скрипта Gitpaste-12 выявило код тестов, свидетельствующий о незавершенности проекта. На настоящий момент вредонос способен атаковать Linux-серверы с архитектурой x86 и IoT-устройства на чипах ARM и MIPS.

За самораспространение бота на другие устройства отвечает один из его модулей. Как показало тестирование, этот скрипт выбирает для атаки произвольный блок адресов /8, выделенный по CIDR (Classless Inter-Domain Routing — метод бесклассовой адресации в сетях на основе IP-протокола), и начинает перебирать все адреса в этом диапазоне. Один из вариантов сценария также открывает порты 30004 и 30005 для получения шелл-команд.

Чтобы загрузить свою копию на целевое устройство, Gitpaste-12 пытается подобрать пароль к Telnet-службе или применяет эксплойт — их в арсенале зловреда больше десятка:

  • CVE-2017-14135 для расширения WebAdmin к сборке OpenDreamBox;
  • CVE-2020-24217 для видеокодеров IPTV/H.264/H.265 на чипах производства HiSilicon;
  • CVE-2017-5638 для фреймворка Apache Struts;
  • CVE-2020-10987 для роутеров от Tenda;
  • CVE-2014-8361 для демона Miniigd в составе SDK Realtek;
  • CVE-2020-15893 для стека UPnP в роутерах D-Link;
  • CVE-2013-5948 для роутеров Asus;
  • EDB-ID: 48225 для GPON-роутеров Netlink;
  • EDB-ID: 40500 для IP-камер AVTECH;
  • CVE-2019-10758 для веб-интерфейса СУБД MongoDB;
  • CVE-2017-17215 для WiFi-роутеров HG532 производства Huawei.

Проникнув в целевую систему, Gitpaste-12 подключается к Pastebin и, используя оставленную операторами ссылку, загружает рекурсивный сценарий. Для нового скрипта на устройстве создается cron-задача на выполнение с интервалом в 1 минуту. По словам экспертов, это нужно для получения обновлений через Pastebin.

Затем Gitpaste-12 скачивает с GitHub модуль shadu1 и инициирует его запуск. Назначением этого сценария является устранение возможных помех. Он пытается заблокировать штатные средства защиты системы: правила файрвола, контроль доступа SELinux, модуль безопасности AppArmor и более обычные программы мониторинга / предотвращения атак.

Примечательно, что shadu1 способен также по команде отключать приложения-агенты, обеспечивающие защиту облачных сред. В коде скрипта обнаружены комментарии на китайском языке. С учетом этих находок исследователи предположили, что авторы Gitpaste-12 намерены с его помощью атаковать облачную инфраструктуру Alibaba и Tencent. Их конечной целью может являться добыча Monero за счет чужих мощностей: судя по содержимому конфигурационного файла, зловред умеет запускать криптомайнер XMRig.

Поскольку Gitpaste-12 был обнаружен недавно, он пока плохо детектируется антивирусами из коллекции VirusTotal. Благодаря вмешательству Juniper ссылки на Pastebin, ассоциируемые с ботом, были удалены, а Git-репозиторий со зловредными файлами закрыли.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Доля российского ПО на ЭГЕ выросла до 20%, но замедлилась

За последние четыре года доля российских регионов, использующих отечественное программное обеспечение для проведения итоговой аттестации по информатике, выросла с 11% до 20%. Однако в 2025 году эта доля немного снизилась по сравнению с 2024 годом, когда она превышала 20%.

Такие данные представил Комитет по информатизации образования Ассоциации разработчиков программных продуктов (АРПП) «Отечественный софт».

Согласно информации ассоциации, Microsoft Office, LibreOffice и OpenOffice по-прежнему доминируют, хотя их доля постепенно снижается на фоне роста использования российских аналогов.

Лидером остаётся LibreOffice — его используют в 55 регионах. Такой выбор объясняется бесплатной лицензией, открытым исходным кодом и совместимостью с российскими операционными системами, в некоторые из которых он входит «из коробки».

Москва и Санкт-Петербург продолжают использовать Microsoft Office — главным образом из-за привычности и широкого распространения этого пакета в образовательных учреждениях. Однако его позиции сдают: всё чаще его заменяют как решения на открытом коде, так и российские продукты. В отдельных регионах, например в Вологодской области, допускается использование сразу нескольких офисных пакетов.

АРПП «Отечественный софт» отмечает активное распространение российских решений — «МойОфис» и «Р7-Офис». Если в 2021 году они использовались лишь в одном регионе, то в 2024 году — уже в 27.

По прогнозам, в 2026 году рост доли российского ПО продолжится. Согласно оптимистичному сценарию, она достигнет 50–60%, по консервативному — 40–45%. При этом доля зарубежных продуктов, в первую очередь устаревшего OpenOffice, будет сокращаться. Microsoft Office и LibreOffice также потеряют часть аудитории, но менее стремительно.

В ассоциации подчёркивают, что для ускорения перехода на отечественное ПО необходимо активнее внедрять его в образовательный процесс, адаптировать учебные программы и обеспечивать техническую поддержку. Учителям и организаторам экзаменов специалисты АРПП советуют учитывать региональные особенности, а разработчикам — адаптировать свои продукты под требования экзаменационных заданий.

«Мы уже несколько лет наблюдаем за ситуацией с проведением итоговой аттестации в компьютерной форме и анализируем по открытым источникам информацию о применяемом ПО. Видим положительную динамику, но её темпы пока невысоки: за четыре года лишь около 20% регионов перешли на российские решения. Выбор отечественного ПО — это не только вопрос безопасности, но и вклад в будущее ИТ-отрасли страны. Наш опыт показывает, что российские продукты не уступают зарубежным аналогам, а их использование в школах — это инвестиции в цифровую экономику России», — прокомментировала Анастасия Горелова, глава комитета по информатизации АРПП «Отечественный софт».

«Курс на технологический суверенитет сегодня проходит красной нитью через все сферы. Поэтому так важно, чтобы знакомство с российскими решениями начиналось ещё в школе. Чем раньше учащиеся начнут работать с отечественным ПО, тем проще им будет в будущем», — отметила Анастасия Баранова, руководитель направления обучения Центра по работе с образовательными учреждениями АО «Р7».

«Мы видим разрыв между тем, чему учат в школах, и тем, что регионы выбирают для экзаменов. Учебные материалы ориентированы на зарубежное ПО, и школам сложно самостоятельно осваивать новые инструменты. В “МойОфис” мы стараемся сократить этот разрыв — обучаем педагогов точечно в регионах, а также проводим открытые бесплатные лекции каждый месяц. На этом этапе особенно важна поддержка со стороны региональных властей и профильных министерств, чтобы как можно больше педагогов и учеников знали о российских решениях и умели ими пользоваться», — добавила Светлана Гиацинтова, генеральный директор «Хаб Знаний МойОфис».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru