Các biến thể Linux của Bifröst Trojan tránh bị phát hiện thông qua tính năng Typosquatting

Các biến thể Linux của Bifröst Trojan tránh bị phát hiện thông qua tính năng Typosquatting

Dấu thời gian: Ngày 7 tháng 2024 năm 10 41:XNUMX sáng
Các biến thể Linux của Trojan Biblast tránh bị phát hiện thông qua việc đánh máy thông minh dữ liệu PlatoBlockchain. Tìm kiếm dọc. Ái.

Một Trojan 20 tuổi gần đây đã xuất hiện trở lại với các biến thể mới nhắm mục tiêu vào Linux và mạo danh một miền được lưu trữ đáng tin cậy để tránh bị phát hiện.

Các nhà nghiên cứu từ Palo Alto Networks đã phát hiện ra một biến thể Linux mới của Phần mềm độc hại Bifrose (hay còn gọi là Bifrose) sử dụng một thủ đoạn lừa đảo được gọi là đánh máy để bắt chước một miền VMware hợp pháp, cho phép phần mềm độc hại hoạt động dưới tầm radar. Bifrost là một Trojan truy cập từ xa (RAT) hoạt động từ năm 2004 và thu thập thông tin nhạy cảm, chẳng hạn như tên máy chủ và địa chỉ IP, từ một hệ thống bị xâm nhập.

Các nhà nghiên cứu Anmol Murya và Siddharth Sharma đã viết trong báo cáo của công ty rằng đã có sự gia tăng đáng lo ngại về các biến thể Bifröst Linux trong vài tháng qua: Palo Alto Networks đã phát hiện hơn 100 trường hợp mẫu Bifröst, điều này “gây lo ngại cho các chuyên gia và tổ chức bảo mật”. những phát hiện mới được công bố.

Hơn nữa, có bằng chứng cho thấy những kẻ tấn công mạng nhằm mục đích mở rộng bề mặt tấn công của Bifröst hơn nữa, bằng cách sử dụng địa chỉ IP độc hại được liên kết với một biến thể Linux lưu trữ phiên bản ARM của Bifröst.

Các nhà nghiên cứu giải thích: “Bằng cách cung cấp phiên bản ARM của phần mềm độc hại, kẻ tấn công có thể mở rộng khả năng nắm bắt của chúng, xâm phạm các thiết bị có thể không tương thích với phần mềm độc hại dựa trên x86”. “Khi các thiết bị dựa trên ARM trở nên phổ biến hơn, tội phạm mạng có thể sẽ thay đổi chiến thuật của chúng để tấn công phần mềm độc hại dựa trên ARM, khiến các cuộc tấn công của chúng mạnh mẽ hơn và có thể tiếp cận nhiều mục tiêu hơn”.

Phân bố và Lây nhiễm

Các nhà nghiên cứu lưu ý rằng những kẻ tấn công thường phân phối Bifröst thông qua các tệp đính kèm email hoặc các trang web độc hại, mặc dù họ không nêu chi tiết về vectơ tấn công ban đầu cho các biến thể Linux mới xuất hiện.

Các nhà nghiên cứu của Palo Alto đã quan sát thấy một mẫu Bifröst được lưu trữ trên máy chủ ở miền 45.91.82[.]127. Sau khi được cài đặt trên máy tính của nạn nhân, Bifröst tiếp cận miền lệnh và kiểm soát (C2) có tên lừa đảo là download.vmfare[.]com, có vẻ giống với miền VMware hợp pháp. Phần mềm độc hại thu thập dữ liệu người dùng để gửi lại máy chủ này, sử dụng mã hóa RC4 để mã hóa dữ liệu.

Các nhà nghiên cứu viết: “Phần mềm độc hại thường sử dụng các tên miền lừa đảo như C2 thay vì địa chỉ IP để tránh bị phát hiện và khiến các nhà nghiên cứu gặp khó khăn hơn trong việc truy tìm nguồn gốc của hoạt động độc hại”.

Họ cũng quan sát thấy phần mềm độc hại đang cố gắng liên hệ với bộ phân giải DNS công cộng có trụ sở tại Đài Loan bằng địa chỉ IP 168.95.1[.]1. Theo các nhà nghiên cứu, phần mềm độc hại sử dụng trình phân giải để bắt đầu truy vấn DNS nhằm phân giải miền download.vmfare[.]com, một quy trình rất quan trọng để đảm bảo rằng Biblast có thể kết nối thành công với đích dự định của nó, theo các nhà nghiên cứu.

Bảo vệ dữ liệu nhạy cảm

Mặc dù có thể đã lỗi thời khi đề cập đến phần mềm độc hại, Bifrof RAT vẫn là mối đe dọa đáng kể và ngày càng gia tăng đối với các cá nhân cũng như tổ chức, đặc biệt là với các biến thể mới áp dụng đánh máy để tránh bị phát hiện, các nhà nghiên cứu cho biết.

Họ viết: “Việc theo dõi và chống lại phần mềm độc hại như Birost là rất quan trọng để bảo vệ dữ liệu nhạy cảm và duy trì tính toàn vẹn của hệ thống máy tính”. “Điều này cũng giúp giảm thiểu khả năng truy cập trái phép và các tác hại sau đó.”

Trong bài đăng của mình, các nhà nghiên cứu đã chia sẻ danh sách các dấu hiệu cho thấy sự xâm phạm, bao gồm các mẫu phần mềm độc hại, tên miền và địa chỉ IP được liên kết với các biến thể Biblast Linux mới nhất. Các nhà nghiên cứu khuyên các doanh nghiệp nên sử dụng các sản phẩm tường lửa thế hệ tiếp theo và dịch vụ bảo mật dành riêng cho đám mây — bao gồm lọc URL, ứng dụng ngăn chặn phần mềm độc hại cũng như khả năng hiển thị và phân tích — để bảo mật môi trường đám mây.

Các nhà nghiên cứu cho biết, cuối cùng, quá trình lây nhiễm cho phép phần mềm độc hại vượt qua các biện pháp bảo mật và trốn tránh sự phát hiện, đồng thời cuối cùng làm tổn hại các hệ thống mục tiêu.

Dấu thời gian:

Thêm từ Đọc tối