תוכנה זדונית ממוקדת לינוקס, המכונה Shikitega, הופיעה כדי למקד לנקודות קצה ולמכשירי האינטרנט של הדברים (IoT) עם שרשרת הדבקה ייחודית מרובת שלבים שגורמת להשתלטות מלאה על המכשירים ולמכשיר קריפטומינר.
חוקרים ב-AT&T Alien Labs שזיהו את הקוד הרע אמרו שזרימת ההתקפה מורכבת מסדרה של מודולים. כל מודול לא רק מוריד ומבצע את המודול הבא, אלא כל אחת מהשכבות הללו משרתת מטרה מסוימת, על פי פרסום יום שלישי ממעבדות Alien.
לדוגמה, מודול אחד מותקן מטרפרטר "Mettle" של Metasploit, המאפשר לתוקפים למקסם את השליטה שלהם במכונות נגועים עם היכולת להפעיל קוד מעטפת, להשתלט על מצלמות אינטרנט ופונקציות אחרות ועוד. אחר אחראי לניצול שתי נקודות תורפה של לינוקס (CVE-2021-3493
ו CVE-2021-4034) להשיג הסלמה של פריבילגיות כשורש ולהשיג התמדה; ועוד אחד מבצע את XMRig קריפטומינר ידוע לכריית Monero.
יכולות בולטות נוספות בתוכנה הזדונית כוללות שימוש במקודד הפולימורפי "Shikata Ga Nai" כדי לסכל זיהוי על ידי מנועי אנטי-וירוס; וניצול לרעה של שירותי ענן לגיטימיים לאחסון שרתי שליטה ובקרה (C2s). על פי המחקר, ניתן להשתמש ב-C2s כדי לשלוח פקודות מעטפת שונות לתוכנה הזדונית, מה שמאפשר לתוקפים שליטה מלאה על היעד.
ניצול תוכנות זדוניות של לינוקס במגמת עלייה
Shikitega מעיד על מגמה של פושעי סייבר פיתוח תוכנות זדוניות עבור לינוקס - הקטגוריה זינקה ב-12 החודשים האחרונים, אמרו חוקרי Alien Labs, והגיעו ל-650%.
השילוב של ניצול באגים נמצא גם הוא במגמת עלייה, הם הוסיפו.
"שחקנים מאיימים מוצאים שרתים, נקודות קצה ומכשירי IoT המבוססים על מערכות הפעלה לינוקס בעלי ערך רב יותר ומוצאים דרכים חדשות לספק את המטענים הזדוניים שלהם", לפי הפרסום. "חָדָשׁ תוכנות זדוניות כמו BotenaGo ו EnemyBot
הן דוגמאות לאופן שבו כותבי תוכנות זדוניות משלבות במהירות נקודות תורפה שהתגלו לאחרונה כדי למצוא קורבנות חדשים ולהגדיל את טווח ההגעה שלהם".
בנימה קשורה, לינוקס הופכת ליעד פופולרי גם עבור תוכנות כופר: דוח מ-Trend Micro השבוע זיהו עלייה של 75%. במתקפות כופר המכוונות למערכות לינוקס במחצית הראשונה של 2022 בהשוואה לתקופה המקבילה אשתקד.
כיצד להתגונן מפני זיהומי Shikitega
טרי אולאס, מנהל הנדסת מכירות ב-Skybox Security, אמר כי למרות שהתוכנה הזדונית עשויה להיות חדשנית, הגנות קונבנציונליות עדיין יהיו חשובות כדי לסכל זיהומים של Shikitega.
"למרות השיטות החדשות שבהן השתמשה Shikitega, היא עדיין מסתמכת על ארכיטקטורה מנוסה, C2, וגישה לאינטרנט, כדי להיות אפקטיבית לחלוטין", אמר בהצהרה שמסר ל-Dark Reading. "מנהלי מערכת צריכים לשקול גישה מתאימה לרשת עבור המארחים שלהם, ולהעריך את הבקרות השולטות בפילוח. היכולת לבצע שאילתות על מודל רשת כדי לקבוע היכן קיימת גישה לענן יכולה לעשות דרך ארוכה לקראת הבנה והפחתת סיכונים לסביבות קריטיות."
כמו כן, בהתחשב במיקוד שגרסאות לינוקס רבות שמים על שילוב ניצול באגי אבטחה, הוא יעץ לחברות להתמקד, כמובן, בתיקון. הוא גם הציע לשלב תהליך תיקון-תעדוף מותאם, אשר קל יותר לומר מאשר לעשות.
"זה אומר נקיטת גישה פרואקטיבית יותר לניהול פגיעות על ידי למידה לזהות ולתעדף פגיעויות חשופות על פני כל נוף האיומים", אמר. "על ארגונים להבטיח שיש להם פתרונות המסוגלים לכמת את ההשפעה העסקית של סיכוני סייבר עם גורמי השפעה כלכליים. זה יעזור להם לזהות ולתעדף את האיומים הקריטיים ביותר בהתבסס על גודל ההשפעה הפיננסית, בין ניתוחי סיכונים אחרים, כגון ציוני סיכון מבוססי חשיפה".
הוא הוסיף, "הם חייבים גם לשפר את הבשלות של תוכניות ניהול הפגיעות שלהם כדי להבטיח שהם יכולים לגלות במהירות אם פגיעות משפיעה עליהם או לא, עד כמה דחוף לתקן, ואילו אפשרויות קיימות לתיקון האמור".
