Выявлено вредоносное ПО Mayhem, поражающее серверы под управлением Linux и FreeBSD

Выявлен вредонос Mayhem, поражающий серверы под управлением Linux и FreeBSD

Группа исследователей из компании Яндекс опубликовала результаты анализа нового вредоносного ПО Mayhem, реализующего аналогичные Windows-ботам средства для серверов на базе Linux и FreeBSD, которые могут работать без получения расширенных привилегий, довольствуясь правами пользователя хостинга, полученными после проникновением через эксплуатацию уязвимостей в web-приложениях.

Исследование проведено на основе изучения работы двух управляющих серверов, обслуживающих примерно 1400 инфицированных вредоносным ПО узлов ботнета.

Mayhem примечателен сложной и гибко расширяемой архитектурой. После успешной эксплуатации уязвимости в web-приложении, на сервер загружается PHP-скрипт, производящий инициализацию бота, который выполнен в форме разделяемой библиотеки libworker.so, обладающей достаточно богатой функциональностью. Интерес представляет метод запуска вредоносного ПО: выполняется штатная системная утилита /usr/bin/host с выставленным флагом LD_PRELOAD=libworker.so, при этом в библиотеке libworker.so переопределяется функция exit(). Используемые в процессе работы Mayhem файлы и плагины сохраняются в файле ".sd0", внутри которого создаётся образ ФС в формате FAT (применяется открытая библиотека fat_filelib), сообщает opennet.ru.

Поддерживается приём и отправка команд, работа в роли управляющего сервера или узла ботнета, подключение плагинов, реализованных в форме разделяемых библиотек. Например, доступны плагины для выполнения таких действий, как сканирование сайтов на наличие уязвимостей, которые могут привести к выполнению стороннего PHP-кода, сбор данных о сайтах под управлением WordPress, подбор паролей методом перебора для сайтов под управлением популярных систем управления контентом и панелей управления, подбор параметров FTP-аккаунтов, извлечение различной информации со страниц сайтов.

В статье также приводятся некоторые выводы, обобщающие текущие тенденции:

  • Ботнеты, создаваемые на основе web-серверов, нашли собственную нишу монетизации, связанную с перебросом трафика, применением грязных методов поисковой оптимизации и использованием загрузок для организации атак.
  • Web-серверы более интересны для атаки, чем обычные пользовательские ПК, так как они очень редко перезагружаются, имеют более качественное сетевое соединение и обладают более высокой вычислительной мощностью.
  • На серверах хостинга часто не используются средства автоматической установки обновлений, многие web-мастеры и системные администраторы устанавливают обновления вручную с последующей проверкой корректности работы инфраструктуры.
  • Для типового сайта качественное сопровождение является дорогим удовольствием и web-мастеры не всегда уделяют внимание отслеживанию появления новых выпусков с устранением уязвимостей. Подобная практика приводит к существованию в Сети большого числа уязвимых web-серверов, которые легко атаковать и использовать в ботнете.
  • В *nix-системах не распространено использование антивирусов. Web-мастеры не желают тратить время на изучение руководств по использованию различных систем упреждающей защиты и проверки систем.
AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

80% увольняющихся пытаются прихватить данные компаний

Согласно статистике, полученной по итогам анализа 230 инцидентов, выявленных при пилотном внедрении DLP-системы Solar Dozor в 2024 году, 8 из 10 увольняющихся сотрудников пытаются забрать доступные им информационные активы, в том числе конфиденциальные данные.

Почти в половине случаев (38%) сотрудники, готовящиеся покинуть компанию, стремятся заполучить сведения о клиентах и партнёрах.

Как отмечают в ГК «Солар», подобные данные являются особенно востребованными и представляют повышенный интерес для конкурентов, которые стараются получить их любыми способами. Для этого нередко используются методы внедрения «своих» сотрудников либо попытки получения информации с помощью манипулятивных техник.

На втором месте по популярности находится интеллектуальная собственность, интерес к которой проявляют 22% увольняющихся сотрудников. В отдельных сегментах рынка, таких как IT, фармацевтика и другие отрасли, где ценность интеллектуальных разработок особенно велика, доля подобных попыток еще выше.

Замыкают тройку лидеров маркетинговые материалы, на которые приходится 18% случаев. Утечка этой информации также способна нанести серьёзный финансовый ущерб организации.

В 14% случаев предметом интереса являются материалы, разработка которых требует значительных трудозатрат. Это локальная нормативная база и другая документация, регулирующая внутренние бизнес-процессы компании. Владение такой информацией существенно повышает ценность сотрудника на новом месте работы.

Еще в 8% случаев сотрудники пытаются вынести любую доступную информацию, не разбирая её ценности. В ГК «Солар» отмечают, что именно данная категория представляет наибольшую угрозу, так как таким образом наружу могут попасть крайне чувствительные конфиденциальные сведения, сам факт утечки которых компания узнаёт лишь тогда, когда информация уже стала публичной.

«Если говорить о каналах вывода данных увольняющимися сотрудниками, то чаще всего используются съемные носители и файлообменные сервисы. Эти каналы позволяют выгружать большие массивы информации, включая архивы документов, конструкторскую документацию и стратегические планы. Важно не только контролировать сами каналы передачи данных, но и отслеживать аномальное поведение сотрудников, особенно в нерабочее время. Например, внезапный рост количества файловых операций или повышенный исходящий трафик в вечернее время могут свидетельствовать о попытках несанкционированного выноса информации», — пояснил Дмитрий Мешавкин, руководитель продукта Solar Dozor ГК «Солар».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru