تستخدم البرامج الضارة المعقدة "NKAbuse" تقنية Blockchain للاختباء على أجهزة Linux وإنترنت الأشياء

تم اكتشاف برنامج ضار معقد ومتعدد الاستخدامات يُسمى NKAbuse يعمل كأداة تسلل وباب خلفي، ويستهدف أجهزة كمبيوتر Linux المكتبية في كولومبيا والمكسيك وفيتنام.

وفقًا لتقرير صادر هذا الأسبوع من Kaspersky، فإن هذا التهديد عبر الأنظمة الأساسية، المكتوب بلغة Go، يستغل بروتوكول شبكات نظير إلى نظير الموجه نحو blockchain من NKN. يمكن أن يصيب NKAbuse أنظمة Linux، بالإضافة إلى البنى المشتقة من Linux مثل MISP وARM - مما يعرض أجهزة إنترنت الأشياء (IoT) للخطر أيضًا.

اللامركزية شبكة إن كي إن تستضيف أكثر من 60,000 عقدة رسمية، وتستخدم خوارزميات توجيه مختلفة لتبسيط عملية نقل البيانات من خلال تحديد مسار العقدة الأكثر كفاءة نحو وجهة حمولة معينة.

نهج فريد من نوعه للبرامج الضارة المتعددة الأدوات

ويوضح ليساندرو أوبيدو، الباحث الأمني ​​في كاسبرسكي، أن ما يجعل هذه البرمجيات الخبيثة فريدة من نوعها هو استخدام تقنية NKN لتلقي وإرسال البيانات من وإلى أقرانها، واستخدامها Go لإنشاء بنيات مختلفة، والتي يمكن أن تصيب أنواعًا مختلفة من الأنظمة. .

إنه بمثابة باب خلفي لمنح الوصول غير المصرح به، حيث تركز معظم أوامره على المثابرة وتنفيذ الأوامر وجمع المعلومات. يمكن للبرامج الضارة، على سبيل المثال، التقاط لقطات الشاشة عن طريق تحديد حدود العرض، وتحويلها إلى PNG، وإرسالها إلى رئيس الروبوت، وفقًا لما ذكره موقع "Word". تحليل البرامج الضارة من Kaspersky لـ NKAbuse.

وفي الوقت نفسه، يعمل بمثابة غمر، حيث يطلق هجمات مدمرة لرفض الخدمة الموزعة (DDoS) التي يمكن أن تعطل الخوادم والشبكات المستهدفة، مما يحمل مخاطر التأثير بشكل كبير على العمليات التنظيمية.

يقول أوبيدو: "إنها غرسة Linux قوية تتمتع بقدرات غامرة وباب خلفي يمكنها مهاجمة هدف في وقت واحد باستخدام بروتوكولات متعددة مثل HTTP أو DNS أو TCP، على سبيل المثال، ويمكنها أيضًا السماح للمهاجم بالتحكم في النظام واستخراج المعلومات منه". . "كل ذلك في نفس الزرع."

تتضمن عملية الزرع أيضًا بنية "نبض القلب" للاتصال المنتظم مع مدير الروبوت، وتخزين البيانات على المضيف المصاب مثل PID وعنوان IP والذاكرة والتكوين.

ويضيف أنه قبل ظهور هذه البرامج الضارة في البرية، كان هناك إثبات للمفهوم (PoC) يسمى NGLite الذي استكشف إمكانية استخدام NKN كأداة للإدارة عن بعد، لكنه لم يتم تطويره على نطاق واسع ولم يكن مسلحًا بالكامل مثل NKAbuse.

تُستخدم تقنية Blockchain لإخفاء التعليمات البرمجية الضارة

لقد تم استخدام شبكات نظير إلى نظير سابقًا في توزيع البرامج الضارة، بما في ذلك "الدودة السحابية" التي اكتشفتها الوحدة 42 التابعة لشبكة بالو ألتو في يوليو 2023، والتي يُعتقد أنها المرحلة الأولى من عملية أوسع نطاقًا عملية التعدين المشفرة.

وفي أكتوبر، تم اكتشاف حملة ClearFake باستخدام تكنولوجيا blockchain الملكية لإخفاء التعليمات البرمجية الضارة، وتوزيع البرامج الضارة مثل RedLine وAmadey وLumma من خلال حملات تحديث المتصفح الخادعة.

وأظهرت هذه الحملة، التي تستخدم تقنية تسمى "EtherHiding"، كيف يستغل المهاجمون تقنية blockchain بما يتجاوز سرقة العملات المشفرة، وتسليط الضوء على استخدامها في إخفاء الأنشطة الضارة المتنوعة.

وأشار تقرير كاسبرسكي إلى أن "استخدام تقنية blockchain يضمن الموثوقية وعدم الكشف عن هويته، مما يشير إلى إمكانية توسع شبكة الروبوتات هذه بشكل مطرد بمرور الوقت، ويبدو أنها خالية من وحدة تحكم مركزية يمكن تحديدها".

تحديث برامج مكافحة الفيروسات ونشر EDR

والجدير بالذكر أن البرامج الضارة لا تحتوي على آلية انتشار ذاتي، بل تعتمد بدلاً من ذلك على شخص يستغل ثغرة أمنية لنشر العدوى الأولية. في الهجمات التي لاحظها كاسبرسكي، على سبيل المثال، بدأت سلسلة الهجوم باستغلال ثغرة أمنية قديمة في Apache Struts 2 (CVE-2017-5638، وهي بالمناسبة نفس الخطأ الذي تم استخدامه لبدء تشغيل خرق ضخم لبيانات Equifax في عام 2017).

وبالتالي، ولمنع الهجمات المستهدفة من قبل جهات تهديد معروفة أو غير معروفة باستخدام NKAbuse، تنصح Kaspersky المؤسسات بمواصلة تحديث أنظمة التشغيل والتطبيقات وبرامج مكافحة الفيروسات لمعالجة نقاط الضعف المعروفة.

بعد نجاح الاستغلال، تتسلل البرامج الضارة بعد ذلك إلى أجهزة الضحية عن طريق تشغيل برنامج نصي عن بُعد (setup.sh) يستضيفه المهاجمون، والذي يقوم بتنزيل وتنفيذ عملية زرع برامج ضارة في المرحلة الثانية مصممة خصيصًا لبنية نظام التشغيل المستهدف، ويتم تخزينها في دليل /tmp لـ تنفيذ.

ونتيجة لذلك، توصي الشركة الأمنية أيضًا بنشر حلول الكشف عن نقطة النهاية والاستجابة لها (EDR) للكشف عن الأنشطة السيبرانية بعد الاختراق والتحقيق فيها والمعالجة السريعة للحوادث.

• محتوى مدعوم من تحسين محركات البحث وتوزيع العلاقات العامة. تضخيم اليوم.
• PlatoData.Network Vertical Generative Ai. تمكين نفسك. الوصول هنا.
• أفلاطونايستريم. ذكاء Web3. تضخيم المعرفة. الوصول هنا.
• أفلاطون كربون، كلينتك ، الطاقة، بيئة، شمسي، إدارة المخلفات. الوصول هنا.
• أفلاطون هيلث. التكنولوجيا الحيوية وذكاء التجارب السريرية. الوصول هنا.
• المصدر https://www.darkreading.com/cloud-security/nkabuse-malware-blockchain-hide-linux-iot