Сетевые устройства Windows и Linux атакует новый самоходный Golang-зловред

Сетевые устройства Windows и Linux атакует новый самоходный Golang-зловред

Сетевые устройства Windows и Linux атакует новый самоходный Golang-зловред

Команда Black Lotus Labs (ИБ-подразделение Lumen Technologies) предупреждает о появлении новой угрозы — ботнета Chaos, способного проводить DDoS-атаки и майнить криптовалюту. Лежащий в его основе вредонос совместим и с Windows, и с Linux и уже проник на сотни серверов и SOHO-роутеров в европейских странах, США и Китае.

По словам экспертов, бот-сеть на базе Chaos (не путать с одноименным билдером шифровальщиков) пока невелика, но обладает большим потенциалом роста. Создатели зловреда предусмотрели возможность работы на аппаратных платформах разной архитектуры — ARM, Intel (i386), MIPS, PowerPC. Новобранец также умеет самостоятельно распространяться с помощью эксплойтов и через брутфорс — перебором ключей SSH, которые он нашел на зараженном хосте или получил списком с C2-сервера.

Аналитики изучили около сотни семплов, обнаруженных в дикой природе и выяснили, что новый бот написан на Go, в коде используется китайский язык, а командная инфраструктура базируется в Китае. В ходе анализа также обнаружены самоподписанные сертификаты X.509, их число стремительно растет (в мае было 39, в августе — 93, два дня назад — 111; самый ранний сгенерирован 16 апреля).

Набор функций зловреда позволяет ему собирать информацию о среде хоста, выполнять шелл-команды, загружать дополнительные модули, в том числе криптомайнер (XMRig), проводить DDoS-атаки. В совокупности аналитики насчитали более 70 различных команд, которые подаются ботам.

Из эксплойтов, используемых Chaos для дальнейшего распространения, замечены CVE-2017-17215 (для роутеров Huawei HG532) и CVE-2022-30525 (для файрволов Zyxel). Создать DDoS-поток вредоносу помогают модули ddostf и Bill Gates; последний, видимо, был специально приобретен для встраиваемых систем на базе FreeBSD, использование которых базовый код бота не предусматривает.

Дл проведения DDoS-атаки на ботнет загружается список целей. Из техник обычно используется мультивекторный флуд (протоколы UDP и TCP/SYN на различных портах). Такие атаки зачастую продолжительны, с наращиванием мощности; Chaos также умеет по команде подменять IP-адрес источника вредоносных запросов.

За месяц наблюдений (с середины июня по середину июля) эксперты выявили сотни уникальных IP-адресов с признаками заражения. Современная популяция Chaos пока ограничена Европой, Америкой и Азиатско-Тихоокеанским регионом (в Австралии и Новой Зеландии его пока нет).

 

Последние два месяца наблюдатели фиксируют существенный рост числа C2-серверов Chaos. С апреля их количество увеличилось более чем в четыре раза.

 

Из жертв заражения в блог-записи Black Lotus упомянут сервер GitLab, расположенный в Западной Европе. В этом месяце исследователи также зарегистрировали серию DDoS-атак с ботнета; список мишеней включал представители игровой индустрии, сферы финансов, СМИ, индустрии развлечений, а также хостинг-провайдеров и один криптообменник. Ботоводы не пощадили даже своих коллег — операторов теневых сервисов «DDoS как услуга».

Появление нового вредоноса на Go еще раз подтвердило тенденцию, подмеченную ИБ-экспертами, — рост популярности кросс-платформенных языков у киберкриминала. Последние два года вирусописатели неустанно трудятся, плодя Go-зловредов — бэкдоров, ботов, шифровальщиков (Epsilon Red, eCh0raix, ранний Hive, HermeticRansom, Agenda). Знатоки Rust пока отстают, но тоже не дремлют.

Холдинг Т1 ведет переговоры по покупке части акций ГК Астра

Мажоритарный акционер ГК «Астра» Денис Фролов ведёт переговоры о продаже 10–15% акций компании. Наиболее вероятным покупателем участники рынка называют холдинг «Т1». В общей сложности Денису Фролову принадлежит около 63% акций ГК «Астра», при этом часть пакета находится в залоге у банка ВТБ.

По мнению участников рынка, возможная продажа может быть связана с инвестициями в новый бизнес или необходимостью погашения долговых обязательств.

О переговорах по продаже пакета акций ГК «Астра» сообщают «Ведомости» со ссылкой как минимум на три источника на ИТ-рынке. По их данным, на продажу может быть выставлен пакет в 10–15% акций группы. Наиболее вероятным покупателем источники называют холдинг «Т1».

В самой ГК «Астра» изданию заявили, что «слухи не комментируют». При этом в компании отметили, что регулярно ведут переговоры с различными потенциальными инвесторами в рамках стратегии привлечения внешних инвестиций. Однако, по словам представителей ГК «Астра», благодаря хорошим финансовым показателям, отсутствию долговой нагрузки и стабильной прибыли необходимости во внешнем финансировании сейчас нет.

«Технологические коллаборации и партнёрства – часть нашей стратегии развития, и мы постоянно рассматриваем рынок на предмет интересных технологий. Сейчас сделок в работе на финальной стадии нет», – прокомментировали в «Т1».

По оценке аналитика «Финама» Леонида Делицина, стоимость пакета в 10–15% акций ГК «Астра» может составлять 6–9 млрд рублей. Для «Т1» приобретение доли в компании, решения которой используются в проектах цифровой трансформации, может дать дополнительное преимущество при участии в закупках и распределении госзаказов. Для Дениса Фролова, по мнению аналитика, продажа части пакета может стать способом вложиться в другой бизнес, сохранив при этом контроль над ГК «Астра».

Как отметил генеральный директор ГК «Астра» Илья Сивцев в интервью «Ведомостям», Денису Фролову принадлежит 62% акций группы. Общая капитализация ГК «Астра» составляет 59 млрд рублей. По словам Ильи Сивцева, сама группа пакеты акций не продаёт и не планирует этого делать, однако продажа со стороны акционеров не исключена.

Как напоминают «Ведомости», ранее уже появлялась информация о возможном интересе к покупке пакетов акций ГК «Астра», однако её опровергали.

RSS: Новости на портале Anti-Malware.ru