Linux-varianten van Bifrost Trojan ontwijken detectie via typosquatting

Heruitgegeven door Plato

volgers: 0

Linux-varianten van Bifrost Trojan ontwijken detectie via typosquatting PlatoBlockchain Data Intelligence. Verticaal zoeken. Ai.

Een 20 jaar oud Trojaans paard is onlangs weer opgedoken met nieuwe varianten die zich op Linux richten en een vertrouwd gehost domein nabootsen om detectie te omzeilen.

Onderzoekers van Palo Alto Networks hebben een nieuwe Linux-variant van de Bifrost-malware (ook bekend als Bifrose). die gebruik maakt van een misleidende praktijk die bekend staat als typosquatting om een legitiem VMware-domein na te bootsen, waardoor de malware onder de radar kan vliegen. Bifrost is een Trojan voor externe toegang (RAT) die actief is sinds 2004 en gevoelige informatie verzamelt, zoals de hostnaam en het IP-adres, van een gecompromitteerd systeem.

Er is de afgelopen maanden een zorgwekkende piek in het aantal Bifrost Linux-varianten geweest: Palo Alto Networks heeft meer dan 100 exemplaren van Bifrost-samples gedetecteerd, wat “zorgen oproept bij beveiligingsexperts en organisaties”, schreven onderzoekers Anmol Murya en Siddharth Sharma in de publicatie van het bedrijf. nieuw gepubliceerde bevindingen.

Bovendien zijn er aanwijzingen dat cyberaanvallers het aanvalsoppervlak van Bifrost nog verder willen uitbreiden, met behulp van een kwaadaardig IP-adres dat is gekoppeld aan een Linux-variant die ook een ARM-versie van Bifrost host, zeiden ze.

“Door een ARM-versie van de malware aan te bieden, kunnen aanvallers hun greep vergroten en apparaten in gevaar brengen die mogelijk niet compatibel zijn met x86-gebaseerde malware”, leggen de onderzoekers uit. “Naarmate op ARM gebaseerde apparaten steeds gebruikelijker worden, zullen cybercriminelen waarschijnlijk hun tactiek veranderen om ook op ARM gebaseerde malware toe te passen, waardoor hun aanvallen sterker worden en meer doelen kunnen worden bereikt.”

Distributie en infectie

Aanvallers verspreiden Bifrost doorgaans via e-mailbijlagen of kwaadaardige websites, merkten de onderzoekers op, hoewel ze niet ingaan op de initiële aanvalsvector voor de nieuw opgedoken Linux-varianten.

Palo Alto-onderzoekers observeerden een voorbeeld van Bifrost gehost op een server op het domein 45.91.82[.]127. Eenmaal geïnstalleerd op de computer van een slachtoffer, maakt Bifrost contact met een command-and-control (C2)-domein met een misleidende naam, download.vmfare[.]com, die lijkt op een legitiem VMware-domein. De malware verzamelt gebruikersgegevens om terug te sturen naar deze server, waarbij gebruik wordt gemaakt van RC4-codering om de gegevens te versleutelen.

“De malware gebruikt vaak misleidende domeinnamen als C2 in plaats van IP-adressen om detectie te omzeilen en het voor onderzoekers moeilijker te maken om de bron van de kwaadaardige activiteit te traceren”, schreven de onderzoekers.

Ze observeerden ook dat de malware probeerde contact te maken met een in Taiwan gevestigde openbare DNS-resolver met het IP-adres 168.95.1[.]1. De malware gebruikt de solver om een DNS-query te starten om het domein download.vmfare[.]com op te lossen, een proces dat cruciaal is om ervoor te zorgen dat Bifrost succesvol verbinding kan maken met de beoogde bestemming, aldus de onderzoekers.

Bescherming van gevoelige gegevens

Hoewel het misschien een oldtimer is als het om malware gaat, blijft de Bifrost RAT een belangrijke en evoluerende bedreiging voor zowel individuen als organisaties, vooral nu er nieuwe varianten worden aangenomen typosquatting om detectie te omzeilen, aldus de onderzoekers.

“Het volgen en tegengaan van malware zoals Bifrost is cruciaal voor het beschermen van gevoelige gegevens en het behoud van de integriteit van computersystemen”, schreven ze. “Dit helpt ook de kans op ongeoorloofde toegang en daaropvolgende schade te minimaliseren.”

In hun bericht deelden de onderzoekers een lijst met indicatoren van compromissen, waaronder malwaremonsters en domein- en IP-adressen die verband houden met de nieuwste Bifrost Linux-varianten. De onderzoekers adviseren dat bedrijven firewallproducten van de volgende generatie gebruiken cloudspecifieke beveiligingsdiensten – inclusief URL-filtering, toepassingen voor malwarepreventie en zichtbaarheid en analyse – om cloudomgevingen te beveiligen.

Uiteindelijk zorgt het infectieproces ervoor dat de malware beveiligingsmaatregelen kan omzeilen en detectie kan omzeilen, en uiteindelijk gerichte systemen in gevaar kan brengen, aldus de onderzoekers.