Боты Xanthe проникают на Linux через плохо настроенные Docker API

Боты Xanthe проникают на Linux через плохо настроенные Docker API

Боты Xanthe проникают на Linux через плохо настроенные Docker API

Обнаружен новый Linux-ботнет, построенный на серверах Docker. Анализ показал, что лежащий в его основе вредонос с кодовым именем Xanthe распространяется в основном через Docker API, которые из-за неправильной конфигурации оказались доступны из интернета и плохо защищены.

По данным Cisco Talos, новоявленный ботнет активен уже больше полугода. В настоящее время он используется для добычи Monero за счет чужих мощностей и с этой целью загружает на серверы вариант криптомайнера XMRig.

Скриптовый зловред, на котором основан Xanthe, имеет модульную структуру. Основной компонент xanthe.sh, название которого эксперты используют для идентификации бот-сети, загружается с помощью скрипта pop.sh. После запуска xanthe.sh скачивает еще четыре модуля, в том числе XMRig с конфигурационным файлом в формате JSON.

 

Остальные вспомогательные модули выполняют защитные функции:

  • libprocesshider.so скрывает процессы бота;
  • шелл-скрипт xesa.txt отключает сторонние майнеры и службы безопасности;
  • шелл-скрипт fczyo завершает процессы Docker-контейнеров конкурирующих троянских программ и создает новых пользователей sysall, system, logger и autoupdater, чтобы обеспечить возможность выполнения команд с привилегиями администратора.

Основной скрипт Xanthe также отвечает за распространение инфекции на другие компьютеры в локальных и удаленных сетях. С этой целью он ослабляет защиту SSH-демона и крадет сертификаты на стороне клиента, чтобы с их помощью авторизоваться на удаленных хостах и запустить команду на загрузку своей копии.

Поиск через Shodan, проведенный исследователями, выявил более 6 тыс. уязвимых серверов Docker — в основном в США, Китае, Ирландии, Японии и Южной Корее. К сожалению, выбрать правильные настройки для Docker API не так уж просто, и соответствующий демон зачастую оказывается открытым для злоупотреблений. Хакеры прекрасно это знают и не упускают случая воспользоваться такой возможностью. В частности, Docker-серверы часто избирает мишенью криминальная группа TeamTNT.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Мессенджер MAX добавил Безопасный режим и кнопку Пожаловаться

Мессенджер MAX усилил защиту пользователей, добавив новые функции Центра безопасности. Теперь в приложении появилась удобная кнопка «Пожаловаться» — она позволяет моментально передать жалобу на подозрительный контакт или контент. Достаточно открыть чат, нажать и удерживать сообщение с вредоносной информацией, выбрать «Пожаловаться», указать причину и отправить обращение.

Как сообщают разработчики, специалисты и модераторы MAX фиксируют не только спам, но и оскорбления, фишинг, попытки социальной инженерии.

Жалобы обрабатываются круглосуточно с использованием автоматизированных систем. В июле Центр безопасности заблокировал более 10 тысяч номеров, связанных с мошеннической активностью.

Ещё одно нововведение — «Безопасный режим», который позволяет быстро ограничить взаимодействие с незнакомцами: скрыть профиль от поиска по номеру, заблокировать входящие звонки от неизвестных и отключить приглашения в чаты. Доступ к настройкам защищён отдельным пин-кодом, а эффективность повышают нейросетевые фильтры и постоянный мониторинг модераторов.

Тем временем Госжилинспекция начала рассылку писем в управляющие компании ЖКХ с требованием перевести домовые чаты в мессенджер MAX. Известно, что такие уведомления получили организации как минимум в шести регионах, включая Московскую и Тульскую области, Краснодарский край и Башкортостан.

При этом у сервиса остаются и нерешённые вопросы: ранее ФСБ России направила претензии к MAX из-за отсутствия криптозащиты необходимого класса и других обязательных мер по защите персональных данных. На этом фоне в стране готовится к запуску новый отечественный мессенджер «Молния», который планируют позиционировать как конкурента не только зарубежным приложениям, но и самому MAX.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru