Криптоджекеры Kinsing взяли на вооружение Linux-уязвимость Looney Tunables

Татьяна Никитина 08 Ноября 2023 - 10:32

...

Кибергруппа Kinsing, специализировавшаяся на скрытной добыче криптовалюты на серверах, сменила modus operandi и теперь вручную крадет учетки и секреты у облачных провайдеров, используя уязвимость Looney Tunables.

С одной такой пробной атакой столкнулись исследователи из Aqua Security. Начальный доступ к целевой системе атакующие получили с помощью RCE-уязвимости CVE-2017-9841 во фреймворке PHPUnit. После отработки эксплойта в систему был загружен Perl-скрипт (bc.pl), открывающий обратный шелл на порту1337.

Затем авторы атаки в интерактивном режиме выполнили серию команд для поиска информации о хосте и аккаунтах пользователя, а также для загрузки скриптов в обеспечение эксплуатации Looney Tunables (CVE-2023-4911, повышение привилегий) и внедрения JavaScript-бэкдора (wesobase.js).

Примечательно, что эксплойт CVE-2023-4911 был загружен напрямую из репозитория ИБ-исследователя, создавшего PoC. Ему уже сообщили о злоупотреблении, и прямую ссылку должны были убрать.

Обнаруженный бэкдор позволяет оператору выполнять шелл-команды, манипулировать файлами, собирать информацию о сети и зараженном сервере, выполнять шифрование/дешифровку. На этом этапе экспертам стало понятно, что злоумышленники пытаются провести разведку и собрать учетные данные, ассоциируемые с провайдером облачных услуг.

В частности, их интересовали учетки пользователей IAM с разным набором разрешений на доступ к ресурсам AWS, а также токены идентификатора объекта, используемые для взаимодействия с AWS-сервисами и заверения запросов к API.

Ранее Kinsing, она же Money Libra, проводила автоматизированные атаки на кластеры Kubernetes, Docker API, серверы Redis, Jenkins, WebLogic для развертывания криптомайнеров. Кражей конфиденциальной информации у облачных провайдеров данная группировка не занималась.

Не исключено, что Kinsing собирается разнообразить и интенсифицировать свои атаки. В этом случае она превратится в более серьезную угрозу для систем и сервисов, работающих в облаках.

Следующая главная новость »

Подписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Екатерина Быстрова 22 Ноября 2024 - 09:26

iOS Эксплойты Уязвимости программ Домашние пользователи Корпорации

Инструмент для взлома GrayKey работает с iPhone 16, но не с iOS 18

Слитые на днях документы показали, что GrayKey, инструмент для взлома iPhone, может получить доступ и к последней модели смартфона — iPhone 16. Однако только в том случае, если он работает на не бета-версии iOS 18.

Graykey можно назвать прямым конкурентом Cellebrite. Последняя программа, например, недавно помогла взломать смартфон стрелка, ранившего Дональда Трампа.

Разработчики GrayKey и Cellebrite скупают информацию об уязвимостях нулевого дня, которые Apple ещё не успела пропатчить. Интересно, что обе компании регулярно публикуют таблицу с актуальным списком девайсов, которые можно взломать.

Изданию 404Media удалось получить часть внутренних документов Graykey, согласно которым софт может взломать всю линейку iPhone 11, а также частично модели с iPhone 12 по iPhone 16 включительно.

Таким образом, можно сделать вывод, что последние существенные аппаратные меры безопасности Apple реализовала именно в iPhone 12. Тем не менее, поскольку подробности не раскрываются, остаётся лишь гадать, что значит «частичный взлом».

Это может быть обычный доступ к незашифрованному содержимому хранилища и метаданным зашифрованного контента. Однако GrayKey не может ничего противопоставить любой из бета-версий iOS 18, о чём говорит сама таблица.

Отметим также новую функцию безопасности в iOS 18 — автоматический перезапуск iPhone, который недавно добавил головной боли полиции.