Ботмрежата, създадена за DDoS, backdooring и пускане на зловреден софтуер, избягва стандартното откриване на URL сигнатури с нов подход, включващ шестократни IP адреси.
Кибератаките се насочват към Linux SSH сървъри със зловредния софтуер ShellBot и имат нов метод за прикриване на дейността си: използват шестнадесетични IP адреси (Hex IP), за да избегнат засичане, базирано на поведението.
Според изследователи от Центъра за реагиране при извънредни ситуации в областта на сигурността на AhnLab (ASEC) заплахите превеждат познатата „точка-десетична“ формация на URL адресите на командите и управлението (т.е. hxxp://39.99.218[.]78,) във формат Hex IP адрес (като hxxp://0x2763da4e/), който повечето сигнатури за откриване на базата на URL адреси няма да анализират или маркират.
„IP адресите могат да се изразяват във формати, различни от точков десетичен запис, включително десетичен и шестнадесетичен запис, и като цяло са съвместими с широко използваните уеб браузъри“, се казва в консултацията на ASEC относно атаките с Hex IP. „Благодарение на използването на curl за изтегляне и способността му да поддържа шестнадесетична бройна система точно както уеб браузърите, ShellBot може да бъде изтеглен успешно в системна среда Linux и изпълнен чрез Perl.“
ShellBot, известен още като PerlBot, е добре познат ботнет, който използва речникови атаки, за да компрометира сървъри, които имат слаби SSH пълномощия. Оттам крайната точка на сървъра се вкарва в действие, за да достави разпределени атаки за отказ на услуга (DDoS) или да пусне полезен товар като криптоминьори на заразените машини.
„Ако е инсталиран ShellBot, Linux сървърите могат да бъдат използвани … за DDoS атаки срещу конкретни цели, след като получат команда от субекта на заплахата“, обяснява ASEC. „Освен това заплахата може да използва различни други функции на задната врата, за да инсталира допълнителен зловреден софтуер или да започне различни видове атаки от компрометирания сървър.“
За да защитят организациите си от атаки с ShellBot, администраторите трябва просто да повишат хигиената на паролите си, като използват силни пароли и се уверят, че редовно сменят своите защитени удостоверения.
АБОНИРАЙТЕ СЕ ЗА НАШИЯ Е-БЮЛЕТИН И ПОЛУЧАВАЙТЕ НОВИНИ И СЪВЕТИ НА ТЕМА КИБЕРСИГУРНОСТ.
© 2022 Фондация “Киберсигурност за Всеки” с ЕИК 206932045. Всички права запазени. Политики за поверителност.
ж.к. Гео Милев бл. 117, вх.А
София 1113, България
support[@]e-security.bg
Фондация “Киберсигурност за Всеки” с ЕИК 206932045 е ЮЛНЦ в обществена полза, регистрирано в ЕС, работещо в съответствие с мисията и целите си.
Моля, имайте предвид, че всички споменати продукти и/или имена на компании са търговски марки ™ или ® на съответните им притежатели. Уебсайтът/фондацията няма никаква свързаност и/или одобрение за/от тях – тези търговски марки се използват само за образователни цели като примери. Настоящият уебсайт е онлайн информационна платформа, управлявана от доброволна фондация в обществена полза. Благодарим ви, че сте тук и за всякакви допълнителни въпроси, не се колебайте да се свържете с нас.
Мисията на Фондация “Киберсигурност за Всеки” е да допринесе за подобряване на киберсигурността, информационна сигурност и защита на системите и да повиши културата на обществото и организациите по тези и свързани с тях теми. Ние насърчаване безопасността и поверителността на потребителите, като повишаваме осведомеността, информираме за най-добрите и нови практики и помагаме на хора и организации да преодолеят съвременните предизвикателства за сигурността на мрежата и опазването на техните дигиталните активи.
На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.
Моля, проверете електронната си поща за да потвърдите.
