Новый Linux-бэкдор приходит через дыру в Log4J и прокладывает DNS-туннель

Новый Linux-бэкдор приходит через дыру в Log4J и прокладывает DNS-туннель

Новый Linux-бэкдор приходит через дыру в Log4J и прокладывает DNS-туннель

В начале февраля в сетевую ловушку Qihoo 360 попал вредоносный ELF-файл, который система опознала как незнакомца. Анализ нового семпла показал, что это бот с функциями бэкдора, способный также открывать SOCKS5-прокси и устанавливать руткит.

Новобранец, которого эксперты нарекли B1txor20, распространяется через эксплойт Log4Shell (CVE-2021-44228) и примечателен тем, что для маскировки коммуникаций с C2 использует DNS-туннелирование. Наличие большого количества неиспользуемых функций, а также багов в реализации некоторых механизмов позволило аналитикам заключить, что данный Linux-бот находится в стадии активной разработки.

Троян нацелен в основном на устройства с CPU-архитектурой ARM или х86 64-бит. На настоящий момент обнаружено четыре образца B1txor20 с почти одинаковым набором функций. Из основных исследователи назвали следующие:

  • создание сокета для обеспечения шелл-доступа;
  • создание и запуск прокси-сервиса;
  • выполнение произвольных системных команд (поддерживаются полтора десятка);
  • установка руткита;
  • загрузка информации о системе на удаленный сервер.

В зараженной системе зловред выдает себя за процесс netns. При исполнении он генерирует свой ID и расшифровывает (XOR) доменное имя для связи с C2 через DNS-туннель (webserv.systems, зарегистрировано на шесть лет), а также секретный ключ RC4 для шифрования трафика.

После этого B1txor20 проверяет доступность DNS-сервера и по результатам теста выбирает вариант связи (прямой или релейный) для регистрации на C2-сервере и приема команд. Для защиты своего трафика вредонос использует не только RC4-шифрование, но также сжатие данных с помощью ZLIB и кодирование по base64.

Лжеработодатели блокируют iPhone россиян и требуют выкуп

Мошенники начали блокировать устройства Apple под видом работодателей, которым якобы нужно настроить корпоративное оборудование или предоставить доступ к служебному приложению. О новой схеме рассказал начальник пресс-службы московского главка МВД Владимир Васенин.

Потенциальной жертве предлагают работу, а затем просят выйти из собственной учётной записи Apple и аутентифицироваться с данными, предоставленными работодателем.

После этого устройство оказывается привязано к чужому аккаунту, и злоумышленники получают возможность дистанционно его заблокировать.

Пользователь теряет доступ к iPhone, iPad или другому устройству Apple. Следом мошенники сообщают, что гаджет находится под их контролем, и требуют деньги за разблокировку.

В МВД предупреждают, что перечисление выкупа не гарантирует возвращения устройства. Даже после нескольких платежей злоумышленники могут продолжить требовать деньги или просто исчезнуть, оставив жертву с дорогим кирпичом в руках.

Пользователям не следует выходить из своего аккаунта Apple и вводить на личном устройстве чужие учётные данные по просьбе работодателя, сотрудника техподдержки или любого другого собеседника. Настоящая компания не должна требовать привязывать личный iPhone к неизвестному аккаунту для получения вакансии или установки корпоративного приложения.

Если устройство уже заблокировано, платить выкуп не стоит. Следует обратиться в службу поддержки Apple, подготовить документы, подтверждающие покупку, и подать заявление в полицию.

RSS: Новости на портале Anti-Malware.ru