Groundhog wykorzystuje dziury w Twoim serwerze Linux
W czerwcu 2015, zespół reagowania na incydenty bezpieczeństwa firmy Check Point został poinformowany przez klienta o niecodziennej aktywności na jednym z jego serwerów DNS BIND działającym pod kontrolą systemu operacyjnego Linux. Dziwne zachowanie polegało na zapisywaniu dużej ilości podejrzanych plików w katalogach systemowych.
2015-10-22, 15:28

Szczegółowa analiza zainfekowanego systemu dokonana przez zespoły reagowania na incydenty bezpieczeństwa oraz badania złośliwego oprogramowania firmy Check Point szybko wykazała, że na wspomnianym serwerze rzeczywiście doszło do włamania. Atak został przeprowadzony metodą brute force poprzez SSH wcześniej tego samego miesiąca. Adresy IP atakujących pochodziły z zakresów należących głównie do chińskich dostawców internetowych. Wykorzystując sieć komputerów do ataku, włamywaczom zajęło jedynie kilka dni, aby uzyskać dostęp roota i przejąć pełną kontrolę nad serwerem.

Po przejęciu kontroli nad serwerem, atakujący zainfekowali system dwoma złośliwymi programami. Były to XOR.DDoS oraz Groundhog, które zostały specjalnie zaprojektowane, aby zarażać systemy Linux i zmuszać je do uczestniczenia w wielkich atakach typu DDoS (Distributed Denial of Service). Skuteczność tego złośliwego oprogramowania pokazuje duży krok naprzód w możliwościach wykorzystania ataków DDoS w celach przestępczych. Efektywność kodu w połączeniu z faktem, że programy te infekują jedynie serwery Linux z dostępem do wysokoprzepustowych łączy, mogą spowodować, że będziemy świadkami ataków DDoS na niespotykaną dotąd skalę.

Podczas gdy XOR.DDoS był już przedtem znany i przeanalizowany, program Groundhog to nowo odkryte zagrożenie. Dochodzenie Check Pointa wykazało bardzo duże podobieństwo tych dwóch aplikacji: używają one podobnej konfiguracji, metod ochrony oraz sposobu komunikacji. Po głębszej analizie próbek można stwierdzić, że istnieje duże prawdopodobieństwo, że są to różne moduły tej samej rodziny złośliwego oprogramowania i że zostały one zaprojektowane i napisane przez tego samego autora.

Dane badawcze pokazały, że atakujący niedawno zmienili sieci używane do ataków, najprawdopodobniej wskutek wykrycia i działań prewencyjnych przeprowadzonych w ostatnim czasie. Ten raport podsumowuje badania Check Pointa i dostarcza szczegółowych danych na temat całego ataku, włączając zaobserwowane metody zarażeń, techniki wykorzystywane przez złośliwe oprogramowanie oraz analizę plików wykonywalnych.

Klienci korzystający z systemu IPS blade firmy Check Point mogą ochronić się przed początkowym atakiem SSH typu brute force wykonywanym przez ten botnet poprzez włączenie i odpowiednią konfigurację zabezpieczenia IPS „Wielokrotne żądania inicjujące połączenie SSH”.

Oprogramowanie antywirusowe i antybotowe firmy Check Point oferuje różne sygnatury, aby ochronić klientów przed infekcjami wykonywanymi przez ten botnet. Sygnatury te są znane pod następującymi nazwami:

Backdoor.Linux.Xorddos.*

Operator.Xorddos.*

KONTAKT / AUTOR
Miłosz Stolarz
PR Consultant
730311365
POBIERZ JAKO WORD
Pobierz .docx
Biuro prasowe dostarcza WhitePress
Copyright © 2015-2024.  Dla dziennikarzy
Strona, którą przeglądasz jest dedykowaną podstroną serwisu biuroprasowe.pl, administrowaną w zakresie umieszczanych na niej treści przez danego użytkownika usługi Wirtualnego biura prasowego, oferowanej przez WhitePress sp. z o.o. z siedzibą w Bielsku–Białej.

WhitePress sp. z o.o. nie ponosi odpowiedzialności za treści oraz odesłania do innych stron internetowych zamieszczone na podstronach serwisu przez użytkowników Wirtualnego biura prasowego lub zaciągane bezpośrednio z innych serwisów, zgodnie z wybranymi przez tych użytkowników ustawieniami.

W przypadku naruszenia przez takie treści przepisów prawa, dóbr osobistych osób trzecich lub innych powszechnie uznanych norm, podmiotem wyłącznie odpowiedzialnym za naruszenie jest dany użytkownik usługi, który zamieścił przedmiotową treść na dedykowanej podstronie serwisu.