Троян PumaBot брутфорсит SSH для внедрения в IoT-гаджеты майнера Monero

Троян PumaBot брутфорсит SSH для внедрения в IoT-гаджеты майнера Monero

Троян PumaBot брутфорсит SSH для внедрения в IoT-гаджеты майнера Monero

Обнаружен новый Linux-бот, нацеленный на встраиваемые IoT-устройства. Проведенный в Darktrace анализ показал, что написанный на Go троян умеет открывать бэкдор, брутфорсить SSH и загружать XMRig, а также руткит для кражи учетных данных.

Эксперты нарекли свою находку PumaBot — из-за интереса зловреда к имени Pumatronix, производителя охранных и дорожных видеокамер, которое он ищет на зараженных устройствах то ли в качестве цели, то ли для отката вредоносных функций.

На смарт-гаджеты новобранец (VirusTotal30/64 на 20 мая) проникает через брутфорс SSH, получая с C2-сервера списки паролей и IP-адресов с открытым портом 22. При этом он проводит ряд проверок, чтобы убедиться, что атакуемая система пригодна для взлома и не является ханипотом.

Получив доступ, PumaBot для маскировки копирует себя в папку /lib/redis, собирает и отсылает на C2 системную информацию, создает фейковый systemd-сервис (redis.service либо mysqI.service — именно так, с заглавной «i» вместо «l») для закрепления в системе и ждет дальнейших указаний.

 

Поскольку на момент анализа C2-сервер вредоноса был недоступен, проследить их обмен не удалось. Обнаружив «xmrig» в списке выполняемых ботом команд, аналитики пришли к выводу, что основным назначением PumaBot является скрытная добыча криптовалюты.

Исследователи также выявили другие бинарные файлы, используемые в рамках данной кампании:

  • написанный на Go бэкдор ddaemon, обеспечивающий загрузку обновлений, бинарника networkxm и запуск скрипта nstallx.sh;
  • networkxm — инструмент брутфорса SSH по спискам, получаемым с C2, с целью дальнейшего распространения инфекции;
  • installx.sh, который загружает из внешнего источника jc.sh, обеспечивает ему разрешения на чтение / запись / исполнение с любым уровнем доступа, запуск и чистит историю команд bash;
  • сценарий jc.sh загружает со стороннего сервера вредоносный файл pam_unix.so для подмены оригинала, а также бинарник с именем «1»;
  • pam_unix.so работает как руткит и осуществляет перехват успешных логинов для сбора учетных данных, в том числе SSH, и сохранения в /usr/bin/con.txt;
  • контролер «1», отвечающий за создание файла con.txt, перемещение его в папку/usr/bin/ и эксфильтрацию содержимого.

Заражение маломощных IoT-устройств с целью криптоджекинга целесообразно лишь в том случае, когда их можно объединить в большую сеть. По данным МВД России, в рунете сейчас наблюдается рост числа ботнетов, создаваемых на базе систем «умного дома». Ранее такие IoT-сети в основном использовались для проведения DDoS-атак, а теперь злоумышленники с их помощью в основном майнят криптовалюту.

Solar SafeInspect интегрировали с балансировщиком TrafficSoft ADC

ГК «Солар» и ее новый партнер, российская компания TrafficSoft, объявили об успешной реализации проекта по обеспечению совместимости PAM-системы Solar SafeInspect с балансировщиком нагрузки TrafficSoft ADC.

Комплекс на базе отечественных решений позволяет масштабировать защиту аккаунтов привилегированных пользователей и централизованный контроль доступа с сохранением отказоустойчивости инфраструктуры даже при пиковых нагрузках по сети.

Новинка должна заинтересовать крупные компании с развитой филиальной сетью и опорой на подрядчиков, в особенности из таких сфер, как телеком, e-commerce и финансы.

До сих пор подобные заказчики Solar SafeInspect для распределения сетевого трафика использовали зарубежные либо опенсорсные балансировщики нагрузки. Теперь у них появилась возможность заменить их отечественным решением уровней L3/L4/L7, включенным в реестр российского софта.

«Наша задача — дать заказчикам возможность выстраивать надежную и масштабируемую инфраструктуру на базе отечественных технологий, без компромиссов по производительности, отказоустойчивости и удобству эксплуатации, — заявил Руслан Добрынин, директор по работе с партнерами TrafficSoft, — Возможность заменить и зарубежное программное обеспечение, и open-source в критически важных сегментах инфраструктуры».

В рамках нового партнерства запланированы работы по интеграции TrafficSoft ADC с другими продуктами «Солара». Между тем его PAM-система усердно следует курсу страны на импортозамещение и уже совместима с такими отечественными решениями, как MULTIFACTOR, Aladdin 2FA, MFASOFT SAS, а также продуктами «РЕД СОФТ» и ГК «Астра».

По данным «Солара», в 2025 году 27% целевых атак на российские организации проводились через подрядчиков. Ожидается, что в текущем году тренд сохранится, и партнерство с TrafficSoft позволит смягчить эту угрозу.

RSS: Новости на портале Anti-Malware.ru