Эксперты: малыш Kobalos способен угнать суперкомпьютер

Эксперты: малыш Kobalos способен угнать суперкомпьютер

Эксперты: малыш Kobalos способен угнать суперкомпьютер

Код зловреда, нацеленного на высокопроизводительные кластеры (HPC), непривычно мал, но сложен. Новый мультиплатформенный бэкдор замечен в атаках на Linux-серверы крупного азиатского интернет-провайдера, американского производителя средств защиты конечных устройств, европейского хостера и одного из поставщиков облачных вычислений.

Проведенный в ESET анализ показал, что Kobalos, как его нарекли в ИБ-компании, способен работать под Linux, BSD и Solaris, а также, возможно, совместим с IBM AIX и Microsoft Windows. В некоторых случаях операторы Kobalos используют вспомогательного зловреда, осуществляющего перехват SSH-соединений и кражу ключей, открывающих доступ к кластеру HPC.

Новоявленный зловред по сути представляет собой бэкдор. Он обеспечивает удаленный доступ к файловой системе, позволяет открыть сессию диалога с терминалом, а также умеет проксировать трафик для других зараженных машин.

Отличительной чертой Kobalos является его способность превращать зараженные серверы в новые C2 по команде оператора. Поскольку IP-адреса и порты командного сервера вшиты в код зловреда, его оператор получает возможность сгенерировать новые семплы и привязать их к новому C2.

Каким образом происходит заражение Kobalos, пока не установлено. В большинстве случаев вредоносный код был внедрен в демон OpenSSH (sshd) и включал функции бэкдора по запросу, отправленному источником с определенного порта TCP. Некоторые варианты Kobalos были оформлены в виде автономного выполняемого файла; они либо подключались к промежуточному C2-серверу, либо ждали соединения на заданном TCP-порту.

Разбор кода Kobalos оказался непростой задачей: он не был разбит на фрагменты. Вредоносная программа выполняется, как единая функция, которая рекурсивно вызывает саму себя для выполнения подзадач.

 

Все строки кода зашифрованы, что создает дополнительное препятствие для реверс-инжиниринга. Использовать бэкдор может только владелец закрытого 512-битного ключа RSA и пароля длиной 32 байта. После аутентификации происходит обмен ключами RC4, которые затем используются для шифрования коммуникаций.

Конечная цель операторов Kobalos пока неясна. Кроме OpenSSH-клиента, ворующего пароли, дополнительных зловредов на зараженных машинах не обнаружено. Для снижения рисков эксперты советуют ввести аутентификацию 2FA на доступ к SSH-серверам.

Рынок защиты ИИ в России к 2029 году может возрасти до 11 млрд рублей

В AppSec Solutions ожидают, что российский рынок средств защиты ИИ-систем будет расти в геометрической прогрессии. В 2026 году его объем превысит 1 млрд руб., а к 2029 году может составить 11 млрд рублей.

Прогнозы других аналитиков, с которыми ознакомился «Ъ», еще более оптимистичны: 3-4 млрд руб. в 2025 году, 25-30 млрд руб. в 2030-м.

Рынок защиты ИИ в России пока молод и ориентирован на B2B. Его развитие стимулируют осознание рисков, сопряженных с внедрением таких технологий, и рост числа угроз; наибольшим спросом пользуются средства анализа защищенности новомодных интеграций, способных нарушить безопасность корпоративных сетей.

Рынок GenAI в России тоже стремительно растет. По оценкам Onside и Just AI, в сравнении с прошлогодним показателем его объем возрос почти в пять раз и достиг 58 млрд руб., а к 2030 году может достичь 778 млрд рублей.

Как неоднократно отмечали эксперты, расширение использования ИИ породило новые риски. Зафиксированы утечки конфиденциальной информации, возможность ошибок в выдаче больших языковых моделей (БЯМ, LLM), манипуляции данными, используемыми для их обучения, а также случаи злонамеренного вмешательства в работу ИИ-систем.

В ходе беседы с журналистами представитель «Информзащиты» упомянул еще одну, совсем новую угрозу — маскировку кибератак под коммуникации LLM. По оценке ИБ-компании, новая уловка злоумышленников позволяет повысить скрытность целевых атак на 42%: мишени по умолчанию воспринимают LLM-трафик как доверенный, а традиционные меры защиты в применении к ИИ малоэффективны.

RSS: Новости на портале Anti-Malware.ru