Новый вредонос Maggie успел забэкдорить 285 серверов Microsoft SQL

Новый вредонос Maggie успел забэкдорить 285 серверов Microsoft SQL

Новый вредонос Maggie успел забэкдорить 285 серверов Microsoft SQL

Эксперты германской ИБ-компании DCSO CyTec обнаружили зловреда, умеющего открывать бэкдор на компьютерах с СУБД SQL Server разработки Microsoft. Сканирование интернета показало, что новобранец Maggie уже скомпрометировал 285 серверов в разных странах, включая Россию.

Вредонос проникает на машину в виде расширенной хранимой процедуры (Extended Stored Procedure, ESP) — DLL-библиотеки, использующей простейший API. Такой компонент позволяет при отсутствии нужных функций обращаться к внешнему коду и выполнять его в адресном пространстве MS SQL Server и в контексте текущего пользователя MS SQL Server.

В ходе Maggie-атаки этот интерфейс передачи сообщений используется для реализации полнофункционального бэкдора, управляемого с помощью SQL-запросов. Загрузка зловреда на сервер требует наличия валидных учетных данных, а установка — возможности записи ESP-файла в директорию, доступную MS SQL.

Анализ показал, что новоявленный бэкдор способен выполнять более 50 команд. С его помощью оператор может получить системную информацию, взаимодействовать с файлами и папками, запускать на исполнение программы, а также добраться до сетевого окружения сервера — вредонос умеет по команде включать TermService (службу терминалов), запускать прокси-сервер Socks5 и устраивать проброс портов.

Особо исследователи отметили такую функциональность Maggie, как брутфорс ключей доступа к другим серверам MS SQL. С этой целью на зараженную машину загружается список хостов, логинов и паролей; зловред в ходе сканов опробует различные комбинации и в случае успеха записывает результат во вшитый лог-файл. Он также пытается определить уровень привилегий взломанной учетной записи: если это админ, в систему добавляется скрытый аккаунт пользователя.

Новобранец также умеет скрытно перенаправлять на заданные IP и порт весь входящий TCP-трафик на зараженном сервере. Подобная возможность открывает оператору интернет-доступ к IP-адресам, связанным с MS SQL.

Список поддерживаемых команд включает Exploit AddUser, Exploit Run, Exploit Clone и Exploit TS, говорящие о возможности применения эксплойта. При вызове этих функций оператор указывает имя DLL и дополнительный параметр, но подключаемая библиотека, видимо, заранее вручную загружается на взломанный сервер: в составе Maggie эксплойтов не обнаружено.

Новую угрозу удалось выявить благодаря случайной находке — в ходе мониторинга бинарников с цифровой подписью эксперты обнаружили подозрительный DLL (уровень детектирования на VirusTotal 27/71 по состоянию на 6 октября). Файл был подписан 12 апреля сертификатом корейской компании DEEPSoft Co., Ltd. В директории экспорта имя библиотеки было указано как sqlmaggieAntiVirus_64.dll.

Каким образом авторы атак внедряют на серверы вредоносный файл, установить пока не удалось. Сканирование интернета выявило около 600 тыс. серверов MS SQL, из них 285 оказались доступными из-под бэкдор-аккаунта, созданного Maggie. Больше всего взломанных серверов было обнаружено в Южной Корее, Индии и Вьетнаме (совокупно около 150). В Топ-5 по этому показателю вошли также Китай (около 20) и Тайвань (11), за ними следует Россия (меньше десятка).

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Прокуратура Москвы предупреждает о новой мошеннической схеме

Новая мошенническая схема, о которой предупреждает Прокуратуры Москвы: аферисты под видом сотрудников ФНС предлагают задекларировать деньги, а затем похищают их.

Как сообщил официальный телеграм-канал Прокуратуры Москвы, такую схему злоумышленники использовали для кражи сбережений у 71-летней пенсионерки.

Женщине позвонил неизвестный. Он узнал от потерпевшей, что она хранит сбережения дома. Мошенник сообщил ей, что все незадекларированные деньги изымет «налоговая служба» для их декларирования.

По указанию аферистов женщина придумала кодовое слово, которое должна использовать на встрече с курьером при передаче наличных. В этот же день курьер мошенников забрал все накопления пострадавшей (2,3 млн рублей), отдав взамен «договор», выполненный в фоторедакторе. Внимательно рассмотрев документ, женщина поняла, что ее обманули.

Криминального курьера удалось задержать. Им оказался 23-летний уроженец Кемеровской области. Предложения о такой работе он получил через один их мессенджеров. Наниматели оплатили ему билет до Москвы и комнату в хостеле.

Задержанному предъявлено обвинение и избрана мера пресечения в виде заключения под стражу. Он проверяется на причастность к совершению аналогичных преступлений.

«Сотрудники банков, государственных и правоохранительных органов никогда не просят граждан передавать денежные средства курьерам либо переводить их на определенные счета», — напоминает прокуратура.

Координатор платформы «Мошеловка» Евгения Лазарева отметила в комментарии для «Известий», что налоговая тема очень широко используется мошенниками, особенно накануне 1 декабря, когда завершается прием налоговых платежей. По мнению эксперта, мошенники пользуются тем, что большинство россиян не знакомы с тонкостями налогового законодательства, поэтому их легко запугать и обмануть.

Как дополнил адвокат Шон Бетрозов, злоумышленники эксплуатируют страх перед государственными органами.

«Граждане уверены, что ошибка в налоговых вопросах может привести к серьезным проблемам: штрафам, аресту или даже судебному преследованию. Кроме того, далеко не каждый вникает в сложные аспекты законодательства, что позволяет мошенникам использовать юридическую терминологию и ссылаться на несуществующие законы, создавая иллюзию легитимности», — подчеркнул юрист в комментарии для «Известий».

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru