Бесплатно раздаваемый зловред Symchanger оказался забэкдоренным

Бесплатно раздаваемый зловред Symchanger оказался забэкдоренным

Бесплатно раздаваемый зловред Symchanger оказался забэкдоренным

Создатель Symchanger, нового PHP-инструмента для массового взлома сайтов, отдает его в пользование на безвозмездной основе. Как оказалось, это не совсем благотворительная акция: вирусописатель добавил в свой скрипт бэкдор, чтобы пожинать плоды его работы без особых трудозатрат.

Анализ вредоносного кода, проведенный в Sucuri, показал, что автор Symchanger не утруждал себя написанием кода с нуля. Он попросту позаимствовал скрипт, уже используемый рядом вредоносных программ, и присовокупил функциональность бэкдора. Новый зловред активно продвигается в профильной группе на Facebook вместе со ссылкой на видеоинструкцию по использованию.

Код Symchanger защищен несколькими слоями обфускации, поэтому пользователю будет трудно обнаружить бэкдор. Массовая компрометация сайтов, размещенных под одним и тем же хостинг-аккаунтом, осуществляется с помощью символьных ссылок (симлинков).

На взломанный сайт зловред устанавливается как файл symchanger.php. Остальные сайты того же пользователя он отыскивает по именам конфигурационных файлов — WordPress, Joomla, Drupal, WHMCS. Обнаружив совпадение с заданным списком, Symchanger генерирует симлинк для текстового файла (формат .txt в данном случае используется, чтобы файл можно было загрузить как PHP).

При наличии доступа к файлу /passwd (на некоторых хостах он ограничен) вредоносный скрипт читает его содержимое для определения пользовательской аудитории веб-сервера. Затем он выполняет перебор массивов по методу foreach, чтобы заполучить регистрационные данные всех пользователей. Создав симлинки для ассоциированных файлов конфигурации, зловред считывает информацию об установке SQL-соединения и подключается к базе данных, чтобы внести новую учетную запись администратора во все индивидуальные базы, до которых он сможет дотянуться.

Свой успех Symchanger показывает оператору в виде URL страницы регистрации сайтов, для которых был создан новый аккаунт администратора.

Добавленную функциональность бэкдора зловредный скрипт реализует, незаметно используя взломанный сервер для отправки email-сообщений на множество адресов. При этом он применяет пять разных шаблонов для передачи конфиденциальных данных — таких как URL активированного файла symchanger.php, список директорий, краденые учетные данные и т. п.

Эта информация обеспечивает получателям писем несанкционированный доступ к сайтам, скомпрометированным Symchanger. В итоге им не нужно самим взламывать серверы и устанавливать скрипт для сбора данных — достаточно просто дождаться сообщения, которое все это преподнесет им на блюдечке.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Лишь 41% российских компаний обезличивает данные

Как показало исследование ГК «Гарда», технологии обезличивания не используют в 59% опрошенных компаний. При этом бизнес заинтересован в минимизации ущерба от утечек данных на фоне усиления ответственности за такие инциденты.

Маскирование обеспечивает безопасность данных, снижает затраты на обслуживание и ускоряет бизнес-процессы, связанные с передачей данных. Как показал опрос, респонденты признают эффективность данных технологий защиты данных.

Чаще всего обезличивание требуется компаниям для безопасной передачи различных сведений подрядчикам или партнерам – это отметили 42% опрошенных, а еще 32% сказали, что технология необходима им для соответствия требованиям регуляторов.

Среди тех, кто пользуется инструментами маскирования и обезличивания данных каждый пятый (21%) полагаются на ПО собственной разработки, 17% маскируют информацию с помощью специализированных решений, а 12% обезличивают данные встроенными средствами СУБД. Решения с открытым кодом не применяет никто из участников опроса.

Половина участников опроса в качестве критерия выбора указала соответствие требованиям регуляторов. Также значимыми факторами были названы использование собственных алгоритмов (19%), а также быстродействие и возможность демаскирования (по 13%).

Участники опроса предпочитают локальные и гибридные варианты распространения ПО для маскирования данных (по 41%). Облачные версии предпочли лишь 18% респондентов.

«Обезличивание данных ‒ процесс на стыке зоны ответственности трех подразделений: ИБ, разработка и ИТ. При развитии комплекса “Гарда Маскирование” мы учитываем интересы всех трех сторон, ‒ комментирует Артемий Новожилов, архитектор систем информационной безопасности группы компаний «Гарда». ‒ Информационная безопасность получает гарантированное маскирование без возможности восстановления исходных данных, разработка выигрывает за счет высокой скорости и качества получаемых синтетических данных, а ИТ-отделы ценят простоту внедрения и поддержки решения и отсутствие влияния на работоспособность СУБД».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru