от Dan Goodin
13 Дек 2023

"Эксперт в прокси и VPN. Будучи сертифицированным специалистом по кибербезопасности, Дэн охватывает самые разные темы - от утечки данных до фишинга. Делится ли он новостями или результатами собственных исследований, его контент всегда наводит на размышления и дает ценные инсайты."

Последствия атаки трояна на Linux
Атака трояна на Linux превращает зараженные устройства в прокси-серверы без ведома пользователей.

Эксперты по кибербезопасности выявили сложный троян, нацеленный на системы Linux. Этот вредоносный код, разработанный для использования конкретных уязвимых мест в системе Linux, превращает инфицированные устройства в прокси-серверы, оставаясь незаметным для пользователей. Это способствует созданию обширной сети прокси, которая может скрывать киберпреступные действия. Троян получает несанкционированный доступ к устройствам Linux и незаметно изменяет их работу, включая их в более широкую сеть, которая используется для перенаправления интернет-трафика.

Что нужно знать об атаке

  • Новый тип вредоносного ПО, а именно RAT-троян Krasue, является серьезной угрозой для систем Linux. Это вредоносное ПО нацелено на организации телекоммуникационного сектора в Таиланде. Его основная цель — установить и поддерживать контроль над зараженными системами Linux.
  • Krasue отличается способностью оставаться незамеченным. В его код встроен сложный руткит — тип модуля ядра Линукс (LKM), который маскируется под безобидный драйвер VMware. Благодаря глубокой интеграции с основными функциями операционной системы, такая маскировка защищает руткит от обнаружения и устранения.
  • Компонент руткита вредоносного ПО разработан для совместимости с различными версиями ядра Linux, особенно со старыми версиями 2.6x и 3.10.x. Этот выбор обратной совместимости является стратегическим, поскольку старые системы часто не обладают надежными механизмами обнаружения и реагирования, что делает их более легкими целями для скрытных операций.
  • Исходя из архитектура руткита, Krasue происходит от трех ранее известных открытых LKM-руткитов, доступных с 2017 года. Вероятно, разработчики Krasue интегрировали существующие вредоносные технологии в свое ПО.
  • Krasue обладает разнообразными функциями для манипулирования скомпрометированной системой. Он может изменять настройки сети, чтобы скрывать или показывать определенные порты, управлять видимостью процессов, повышать привилегии до высшего уровня и завершать процессы по мере необходимости. Также он может скрывать следы своей активности, что значительно затрудняет его обнаружение.
  • Уникальной особенностью Krasue является использование в C2-коммуникациях протокола реального времени для потоковой передачи (RTSP). Такой необычный выбор демонстрирует сложный подход трояна к поддержанию скрытых коммуникаций.
  • Хотя точные источники и методы первоначального заражения Krasue остаются неясными, в его кодовой базе наблюдаются сходства с другим известным вредоносным ПО для Linux, а именно XorDdos. Это предполагает возможное общее происхождение или методы разработки между этими двумя типами вредоносного ПО.

Узнайте больше о вредоносных прокси-серверах и как защитить себя от взлома прокси.

Что это значит для Linux?

Последствия этой атаки охватывают широкий спектр. Она не только нарушает целостность зараженных устройств, но и представляет значительные риски для сетей, к которым эти устройства подключены. Перенаправленный трафик может использоваться для различных злонамеренных целей. Сюда относится распространение вредоносного ПО, инициирование новых кибератак и облегчение анонимного общения для незаконной деятельности. Вот некоторые из проблем, возникших в результате атаки:

  • Нарушенная целостность и риски для сети: Как только устройство Linux заражается, оно становится частью вредоносной сети, что может скомпрометировать всю сеть, к которой оно подключено.
  • Возможность злонамеренного использования: Способность трояна перенаправлять трафик через скомпрометированные устройства открывает несколько путей для злоупотреблений. Это перенаправление трафика может использоваться для распространения дополнительного вредоносного ПО, увеличивая масштаб кибератак.
  • Угроза корпоративной и индивидуальной конфиденциальности: Возможность перехвата или манипулирования данными через скомпрометированные устройства увеличивают риски, особенно в секторах, обрабатывающих критические данные.
  • Проблемы с обнаружением и удалением: Из-за скрытного характера руткита Krasue обнаружение и удаление трояна из зараженных систем Linux представляет собой сложную задачу.
  • Переоценка протоколов безопасности Linux: Атака требует пересмотра существующих протоколов безопасности в средах Linux. Организациям, возможно, придется инвестировать больше в обучение кибербезопасности своего ИТ-персонала и рассмотреть возможность использования более надежных систем обнаружения и предотвращения вторжений.

Основные выводы

Эксперты настоятельно рекомендуют пользователям Linux усилить меры кибербезопасности. Сюда относятся регулярные обновления программного обеспечения, тщательный мониторинг сети и использование надежных средств защиты от пожара. Кроме того, повышенное осведомленность и образование о таких типах киберугроз имеют решающее значение как для индивидуальных пользователей, так и для организаций.

Но что насчет обычных пользователей? Полный список мер безопасности, которые рекомендуется принять пользователям Linux, включает:

  • Регулярные обновления программного обеспечения
  • Тщательный мониторинг сети
  • Надежные средства защиты Firewall
  • Сильные пароли и двухфакторная аутентификация
  • Принцип наименьших привилегий
  • Шифрование данных
  • Поддержание актуальности образов системы
  • Безопасность и мониторинг сетевой активности

В заключение

По мере того как киберпреступления становятся более изощренными, необходимо усиливать наши защитные меры против них. Сообщество кибербезопасности активно работает над анализом и противодействием угрозе трояна, но ситуация определенно подчеркивает важность проактивных и всесторонних стратегий безопасности.

Мы используем файлы cookie на нашем сайте, чтобы обеспечить вам наилучшее качество просмотра.Продолжая просматривать сайт, вы соглашаетесь с этим использованием. Более подробную информацию о том, как мы используем файлы cookie, см. в Политике конфиденциальности.

Понятно

Мы добавили этот прокси в список сравнения