Меню
Актуализирана версия на зловреден софтуер за ботнет, наречен Prometei, е заразила над 10 000 системи по целия свят от ноември 2022 г. насам.
Инфекциите са както географски безразборни, така и опортюнистични, като повечето жертви са докладвани в Бразилия, Индонезия и Турция.
Prometei, наблюдаван за пръв път през 2016 г., е модулна ботнет мрежа, която разполага с голям репертоар от компоненти и няколко метода за разпространение, някои от които включват и използване на пропуски в ProxyLogon на Microsoft Exchange Server.
Той се отличава и с това, че избягва да нанася удари по Русия, което предполага, че хакерите, които стоят зад операцията, вероятно са базирани в страната.
Мотивите на кросплатформения ботнет са финансови, като той използва предимно пула си от заразени хостове за добив на криптовалута и събиране на идентификационни данни.
Най-новият вариант на Prometei (наречен v3) подобрява съществуващите си функции, за да предизвика криминалистичния анализ и да задълбочи достъпа си до машините на жертвите, се казва в доклад на Cisco Talos, споделен с The Hacker News.
Последователността на атаката протича по следния начин: След като се установи успешно, се изпълнява команда PowerShell за изтегляне на полезния товар на ботнета от отдалечен сървър. След това основният модул на Prometei се използва за извличане на действителния полезен товар за криптодобив и други спомагателни компоненти в системата.
Някои от тези спомагателни модули функционират като програми за разпространение, предназначени за разпространение на зловредния софтуер чрез протоколите Remote Desktop Protocol (RDP), Secure Shell (SSH) и Server Message Block (SMB).
Prometei v3 заслужава да се отбележи и с използването на алгоритъм за генериране на домейни (DGA) за изграждане на инфраструктурата за командване и контрол (C2). Освен това той включва механизъм за самоактуализация и разширен набор от команди за събиране на чувствителни данни и управление на хоста.
Не на последно място, зловредният софтуер разполага с уеб сървър Apache, който е в комплект с базиран на PHP уеб шел, способен да изпълнява Base64-кодирани команди и да извършва качване на файлове.
„Това неотдавнашно добавяне на нови възможности [показва], че операторите на Prometei непрекъснато актуализират ботнета и добавят функционалност“, казват изследователите от Talos Андрю Уиндзор и Ваня Свайцер.
АБОНИРАЙТЕ СЕ ЗА НАШИЯ Е-БЮЛЕТИН И ПОЛУЧАВАЙТЕ НОВИНИ И СЪВЕТИ НА ТЕМА КИБЕРСИГУРНОСТ.
© 2022 Фондация “Киберсигурност за Всеки” с ЕИК 206932045. Всички права запазени. Политики за поверителност.
ж.к. Гео Милев бл. 117, вх.А
София 1113, България
support[@]e-security.bg
Фондация “Киберсигурност за Всеки” с ЕИК 206932045 е ЮЛНЦ в обществена полза, регистрирано в ЕС, работещо в съответствие с мисията и целите си.
Моля, имайте предвид, че всички споменати продукти и/или имена на компании са търговски марки ™ или ® на съответните им притежатели. Уебсайтът/фондацията няма никаква свързаност и/или одобрение за/от тях – тези търговски марки се използват само за образователни цели като примери. Настоящият уебсайт е онлайн информационна платформа, управлявана от доброволна фондация в обществена полза. Благодарим ви, че сте тук и за всякакви допълнителни въпроси, не се колебайте да се свържете с нас.
Мисията на Фондация “Киберсигурност за Всеки” е да допринесе за подобряване на киберсигурността, информационна сигурност и защита на системите и да повиши културата на обществото и организациите по тези и свързани с тях теми. Ние насърчаване безопасността и поверителността на потребителите, като повишаваме осведомеността, информираме за най-добрите и нови практики и помагаме на хора и организации да преодолеят съвременните предизвикателства за сигурността на мрежата и опазването на техните дигиталните активи.
На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.
Моля, проверете електронната си поща за да потвърдите.
