Zlonamerna programska oprema Linux naslednje generacije prevzema naprave z edinstvenim naborom orodij

Pojavila se je zlonamerna programska oprema, osredotočena na Linux, imenovana Shikitega, ki cilja na končne točke in naprave interneta stvari (IoT) z edinstveno večstopenjsko verigo okužb, ki ima za posledico popoln prevzem naprave in kriptominer.

Raziskovalci pri AT&T Alien Labs, ki so opazili slabo kodo, so povedali, da je tok napada sestavljen iz niza modulov. Vsak modul ne le prenese in izvede naslednjega, ampak vsaka od teh plasti služi določenemu namenu, v skladu z Objava v torek iz Alien Labs.

Na primer, en modul se namesti Metasploitov “Mettle” Meterpreter, ki napadalcem omogoča maksimalen nadzor nad okuženimi stroji z zmožnostjo izvajanja lupinske kode, prevzema spletnih kamer in drugih funkcij ter več. Drugi je odgovoren za izkoriščanje dveh ranljivosti Linuxa (CVE-2021-3493
in CVE-2021-4034) doseči stopnjevanje privilegijev kot root in doseči obstojnost; in še en izvaja znani kriptominer XMRig za rudarjenje Monero.

Nadaljnje pomembne zmožnosti zlonamerne programske opreme vključujejo uporabo polimorfnega kodirnika »Shikata Ga Nai« za preprečitev odkrivanja protivirusnih mehanizmov; in zloraba zakonitih storitev v oblaku za shranjevanje ukazno-nadzornih strežnikov (C2). Glede na raziskavo se lahko C2 uporabijo za pošiljanje različnih lupinskih ukazov zlonamerni programski opremi, kar napadalcem omogoča popoln nadzor nad tarčo.

Izkoriščanja zlonamerne programske opreme Linux v porastu

Shikitega kaže na trend kibernetskih kriminalcev razvoj zlonamerne programske opreme za Linux — kategorija je v zadnjih 12 mesecih skokovito narasla, so povedali raziskovalci Alien Labs, in dosegla 650 %.

V porastu je tudi vgrajevanje izkoriščanja hroščev, so dodali.

"Akterji groženj menijo, da so strežniki, končne točke in naprave interneta stvari, ki temeljijo na operacijskih sistemih Linux, vedno bolj dragoceni in najdejo nove načine za dostavo svojih zlonamernih koristnih obremenitev," je zapisano v objavi. »Novo zlonamerno programsko opremo, kot je BotenaGo in EnemyBot
so primeri, kako avtorji zlonamerne programske opreme hitro vključijo nedavno odkrite ranljivosti, da bi našli nove žrtve in povečali njihov doseg.«

V zvezi s tem Linux postaja priljubljena tarča tudi izsiljevalske programske opreme: poročilo podjetja Trend Micro ta teden ugotovili 75-odstotno povečanje v napadih z izsiljevalsko programsko opremo, ki ciljajo na sisteme Linux, v prvi polovici leta 2022 v primerjavi z enakim obdobjem lani.

Kako se zaščititi pred okužbami Shikitega

Terry Olaes, direktor prodajnega inženiringa pri Skybox Security, je dejal, da čeprav je zlonamerna programska oprema morda nova, bodo konvencionalne obrambe še vedno pomembne za preprečevanje okužb s Shikitego.

"Kljub novim metodam, ki jih uporablja Shikitega, je še vedno odvisen od preizkušene arhitekture, C2 in dostopa do interneta, da bi bil popolnoma učinkovit," je dejal v izjavi, posredovani Dark Readingu. »Sistemski skrbniki morajo upoštevati ustrezen dostop do omrežja za svoje gostitelje in oceniti kontrole, ki urejajo segmentacijo. Možnost povpraševanja po omrežnem modelu za ugotavljanje, kje obstaja dostop do oblaka, lahko veliko pripomore k razumevanju in zmanjšanju tveganja za kritična okolja.«

Glede na to, da se številne različice Linuxa osredotočajo na vključevanje izkoriščanja varnostnih hroščev, je podjetjem svetoval, naj se seveda osredotočijo na popravke. Predlagal je tudi vključitev prilagojenega postopka popravkov in določanja prednosti, ki je lažje reči kot narediti.

»To pomeni bolj proaktiven pristop k upravljanju ranljivosti z učenjem prepoznavanja in razvrščanja izpostavljenih ranljivosti v celotnem okolju groženj,« je dejal. »Organizacije bi morale zagotoviti, da imajo rešitve, s katerimi lahko kvantificirajo poslovni vpliv kibernetskih tveganj z dejavniki ekonomskega vpliva. To jim bo pomagalo prepoznati in razvrstiti po prednosti najbolj kritične grožnje na podlagi velikosti finančnega vpliva, med drugimi analizami tveganja, kot so ocene tveganja na podlagi izpostavljenosti.«

Dodal je: "Prav tako morajo izboljšati zrelost svojih programov za upravljanje ranljivosti, da zagotovijo, da lahko hitro odkrijejo, ali ranljivost vpliva nanje ali ne, kako nujno je sanacijo in kakšne so možnosti za omenjeno sanacijo."