Новый ботнет-рэпер для Linux брутфорсит SSH-серверы

Новый ботнет-рэпер для Linux брутфорсит SSH-серверы

Новый ботнет-рэпер для Linux брутфорсит SSH-серверы

Обнаруженный на днях ботнет “RapperBot” с середины июня 2022 года проводит брутфорс-атаки на SSH-серверы Linux. За основу авторы вредоноса взяли троян Mirai, изменив ряд его особенностей (например, бесконтрольное распространение на максимально доступное число устройств).

RapperBot более жестко контролируется операторами, имеет ограниченные возможности по запуску DDoS, а его основная задача — получить первоначальный доступ к серверу.

Предположительно, этот вредонос может использоваться на первых этапах атаки, чтобы потом развить ее латеральным передвижением по скомпрометированной сети. За последние полтора месяца ботнет использовал более 3500 уникальных IP-адресов для сканирования и брутфорса SSH-серверов Linux.

На киберугрозу обратили внимание специалисты компании Fortinet, отметившие у зловреда нетипичные строки. Нет никаких сомнений, что RapperBot произошел от Mirai, однако его отличают уникальные функции, собственный протокол для связи с командным сервером (C2) и необычная для ботнета активность после проникновения в систему.

«В отличие от большинства клонов Mirai, которые брутфорсят серверы Telnet с помощью дефолтных или слабых паролей, RapperBot специально сканирует и атакует SSH-серверы, на которых допускается аутентификация по паролю», — объясняют в Fortinet.

«Часть кода вредоносной программы включает имплементацию клиента SSH 2.0, который подключается и брутфорсит любой SSH-сервер, поддерживающий обмен ключами по протоколу Диффи — Хеллмана (Diffie–Hellman key exchange) и шифрование данных с помощью AES128-CTR».

Брутфорс осуществляется с помощью учетных данных, загруженных с командного сервера. Специалисты Fortinet также выяснили, что RapperBot использовал механизм самораспространения через удаленный загрузчик бинарника, однако в середине июля авторы отказались от этой функциональности.

Более того, RapperBot может прикрепить SSH-ключ злоумышленников к хостовому “~/.ssh/authorized_keys”. Такой подход позволяет сохранять доступ к серверу между перезагрузками и даже в том случае, если вредонос обнаружен и удален.

В более поздних семплах авторы вредоноса добавили строкам дополнительные слои обфускации, например XOR-шифрование.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Уязвимость в Unity позволяет выполнить код в играх на Android и Windows

В Unity нашли серьёзную уязвимость (CVE-2025-59489), позволяющую запускать произвольный код в играх и приложениях — особенно опасно на Android, а на Windows даёт возможности для повышения привилегий. Да, речь о движке, на котором сделаны тысячи мобильных игр и куча инди проектов — так что проблема масштабная.

Исследователь RyotaK заметил баг ещё в мае (на конференции Meta Bug Bounty Researcher). Причина в том, как Unity обрабатывает аргумент командной строки -xrsdk-pre-init-library — он не проверяется и не очищается.

На Android это означает: если на устройстве есть вредоносное приложение, оно может подсунуть игре свою библиотеку через Intent и заставить игру её загрузить — то есть получить исполнение кода в контексте игры.

На Windows, macOS и Linux похожие пути (не только Intents) тоже возможны — можно менять пути поиска библиотек или подставлять аргументы, если есть соответствующий вектор ввода.

Что это даёт злоумышленнику

  • На Android — произвольное выполнение нативного кода в пределах прав уязвимого приложения.
  • На Windows — варианты для повышения привилегий и локального исполнения кода через модификацию путей загрузки библиотек или аргументов.
    Unity подчёркивает: исполнение кода ограничено правами самой игры, а утечка информации — тем, что доступно приложению.

Компания также утверждает, что уязвимость присутствует в рантайме для версий начиная с 2017.1 и далее, а патчи выпущены для версий с 2019.1 и новее, включая некоторые устаревшие ветки. Старые и уже не поддерживаемые версии патча не получат — так что часть билдов останется уязвимой до пересборки.

В списке уязвимых игр компании указывают : Hearthstone, The Elder Scrolls: Blades, Fallout Shelter, DOOM (2019), Wasteland 3, Forza Customs и другие популярные проекты — то есть и мобильные хиты, и некоторые десктопные версии.

 

Реакция платформ и компании:

  • Valve/Steam выпустила обновление клиента, которое блокирует запуск кастомных URI-схем через платформу, чтобы закрыть один из векторов.
  • Valve рекомендует издателям пересобрать игры на безопасной версии Unity или просто заменить у билда библиотеку UnityPlayer.dll на пропатченную.
  • Microsoft выпустила бюллетень с предупреждением и советом — пока нет патча у конкретной игры, лучше её удалить.
  • Unity выпустила бюллетень и рекомендует разработчикам обновить Unity Editor до свежей ветки, пересобрать и переопубликовать приложения либо заменить рантайм-бинарь на актуальный.

Что делать обычному игроку:

  • Если игра обновилась и в патче указан фикс — обновляйте и устанавливайте.
  • Если разработчик ещё не выпустил патч — по возможности удалите игру с устройства (Microsoft прямо рекомендует это для Windows-версий).
  • На Android следите за тем, какие приложения вы устанавливаете — не давайте лишних прав подозрительным приложениям, особенно если вы играете в популярные Unity-проекты.

Что делать разработчикам:

  • Немедленно обновить Unity Editor до ближайшей безопасной ветки, пересобрать игру и выпустить обновление.
  • Если пересборка невозможна, заменить рантайм-библиотеку (UnityPlayer.dll/аналог) в уже выпущенных билдах на пропатченную версию, как советует Valve.
  • Пересмотреть обработку входных аргументов, проверку путей и загрузку библиотек — и по возможности убрать ненужную функциональность, которая открывает такие векторы.

Unity заявляет, что по состоянию на начало октября активного использования уязвимости не наблюдалось. Но учитывая широкий охват Unity в индустрии, лучше не рассчитывать на удачу — обновления и осторожность сейчас важнее.

Проблема серьёзная, но исправима: игрокам — следить за обновлениями и по возможности временно удалять уязвимые приложения; разработчикам — быстро обновлять редактор и/или подставлять заплатки в рантайм и заново выкатывать сборки. Чем быстрее это сделают массовые издатели, тем быстрее риски снизятся.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru