Криптоджекеры Kinsing взяли на вооружение Linux-уязвимость Looney Tunables

Криптоджекеры Kinsing взяли на вооружение Linux-уязвимость Looney Tunables

Криптоджекеры Kinsing взяли на вооружение Linux-уязвимость Looney Tunables

Кибергруппа Kinsing, специализировавшаяся на скрытной добыче криптовалюты на серверах, сменила modus operandi и теперь вручную крадет учетки и секреты у облачных провайдеров, используя уязвимость Looney Tunables.

С одной такой пробной атакой столкнулись исследователи из Aqua Security. Начальный доступ к целевой системе атакующие получили с помощью RCE-уязвимости CVE-2017-9841 во фреймворке PHPUnit. После отработки эксплойта в систему был загружен Perl-скрипт (bc.pl), открывающий обратный шелл на порту1337.

Затем авторы атаки в интерактивном режиме выполнили серию команд для поиска информации о хосте и аккаунтах пользователя, а также для загрузки скриптов в обеспечение эксплуатации Looney Tunables (CVE-2023-4911, повышение привилегий) и внедрения JavaScript-бэкдора (wesobase.js).

Примечательно, что эксплойт CVE-2023-4911 был загружен напрямую из репозитория ИБ-исследователя, создавшего PoC. Ему уже сообщили о злоупотреблении, и прямую ссылку должны были убрать.

Обнаруженный бэкдор позволяет оператору выполнять шелл-команды, манипулировать файлами, собирать информацию о сети и зараженном сервере, выполнять шифрование/дешифровку. На этом этапе экспертам стало понятно, что злоумышленники пытаются провести разведку и собрать учетные данные, ассоциируемые с провайдером облачных услуг.

В частности, их интересовали учетки пользователей IAM с разным набором разрешений на доступ к ресурсам AWS, а также токены идентификатора объекта, используемые для взаимодействия с AWS-сервисами и заверения запросов к API.

Ранее Kinsing, она же Money Libra, проводила автоматизированные атаки на кластеры Kubernetes, Docker API, серверы Redis, Jenkins, WebLogic для развертывания криптомайнеров. Кражей конфиденциальной информации у облачных провайдеров данная группировка не занималась.

Не исключено, что Kinsing собирается разнообразить и интенсифицировать свои атаки. В этом случае она превратится в более серьезную угрозу для систем и сервисов, работающих в облаках.

Злоумышленники обманывают россиянок от имени звезд

Компания F6 предупреждает о резком росте числа мошеннических схем, в которых злоумышленники выманивают деньги у россиянок, представляясь звёздами шоу-бизнеса — как российскими, так и зарубежными. Для убедительности аферисты активно используют дипфейки, а также мессенджеры и социальные сети. В ход идут сгенерированные нейросетями голосовые и видеосообщения.

О новой волне дипфейк-атак на россиянок рассказал изданию «Фонтанка» эксперт F6 Сергей Золотухин.

«Главный тренд года в схемах “про любовь” — использование искусственного интеллекта. С помощью нейросетей киберпреступники уже давно создают фейковые фото и видео со знаменитостями, которые сложно отличить от настоящих. Известны случаи, когда для обмана использовались образы Димы Билана, Сергея Лазарева, Брэда Питта, Райана Гослинга и Леонардо Ди Каприо», — рассказал Сергей Золотухин.

Сценарий обычно начинается с комплиментов и виртуального флирта, после чего злоумышленники переходят к отработке различных схем. Самая распространённая — просьба о финансовой помощи. В качестве повода могут называться болезнь, блокировка счетов, необходимость купить билеты или иная «экстренная» ситуация. После получения денег мошенники чаще всего исчезают, хотя иногда продолжают выманивать средства повторно.

Так, в январе жительницу Саратовской области обманул злоумышленник, представившийся Филиппом Киркоровым. Он попросил оплатить поездку и прекратил общение сразу после перевода денег.

Существуют и схемы без прямого требования перевода средств. Например, аферисты выдают себя за владельцев сети салонов красоты и предлагают бесплатное посещение. Для записи нужно перейти по ссылке, которая ведёт на заражённый сайт. После этого устройство жертвы может быть скомпрометировано, а злоумышленники получают над ним контроль.

Как отмечает Сергей Золотухин, не исчезла и классическая схема Fake Date, рассчитанная преимущественно на мужчин. В этом году злоумышленники чаще всего заманивают жертв на фишинговые сайты якобы для покупки билетов в театр или на концерт. В результате в их распоряжении оказываются платёжные данные. По аналогичной схеме аферисты действовали и ранее.

В 2026 году появился и новый предлог для перехода по фишинговой ссылке — «бесплатная фотосессия». Злоумышленники представляются фотографами, а ссылка якобы ведёт на сайт студии. Также участились попытки вовлечь жертв в инвестиционные мошеннические схемы.

RSS: Новости на портале Anti-Malware.ru