Výskumníci si všimli, že kybernetickí zločinci zneužili chybu na prístup ku cloudovému Linux serveru. Hackeri následne chybu opravili a zamkli za sebou dvere. Oprava chýb môže mať rôzne dôvody.
Hackeri nedávno opravili zraniteľnú cloudovú inštanciu Linuxu, no neurobili to z dobroty srdca.
Bezpečnostní výskumníci z Red Canary spozorovali páchateľa, ktorý zneužil chybu maximálnej závažnosti (CVE-2023-46604) na preniknutie do cloudového systému Linux.
Zraniteľnosť sa nachádza v Apache ActiveMQ a okrem iného udeľuje trvalý prístup. Po preniknutí však opravili chybu, čím v podstate za sebou zamkli dvere.
Red Canary tvrdí, že existujú rôzne dôvody, prečo by kybernetický zločinec mohol problém po jeho zneužití opraviť, vrátane uzamknutia iných protivníkov alebo zametenia stôp.
To druhé dáva veľký zmysel, najmä ak vieme, že kybernetickí zločinci často bojujú o kontrolu nad rôznymi napadnutými koncovými bodmi.
Okrem opravy chyby hackeri urobili niekoľko vecí, vrátane inštalácie Sliver implantátu, ktorý im poskytol neobmedzený prístup k systému.
Upravili aj existujúci konfiguračný súbor sshd, aby umožnili prihlásenie root, a potom nainštalovali predtým neznámy downloader, ktorý Red Canary nazval „DripDropper“.
Samotný downloader je pomerne pokročilý a na spustenie vyžaduje heslo, čo bráni analýze prostredia sandbox.
Komunikuje s páchateľmi prostredníctvom účtu Dropbox, ktorý má napevno zakódované nosné tokeny. Keďže Dropbox a podobné platformy (Telegram alebo Discord) nie sú zo svojej podstaty škodlivé, prenos splýva a je ťažšie ho odhaliť. Nakoniec sa DripDropper s najväčšou pravdepodobnosťou používa na nasadenie dvoch samostatných častí malvéru.
Red Canary tvrdí, že zraniteľné webové servery sú jedným z najbežnejších vstupných vektorov do systémov Linux.
„Vzhľadom na rozšírenosť systémov *NIX alebo Unix-like v modernej infraštruktúre, najmä v rýchlo sa rozširujúcich cloudových prostrediach, je nevyhnutné zabezpečiť ich ochranu,“ uviedli výskumníci.
„To si vyžaduje vývoj špecializovaných stratégií reakcie na incidenty prispôsobených zložitosti cloudových architektúr a prostredí Linuxu a zabezpečenie toho, aby boli obrancovia vybavení účinnými a použiteľnými usmerneniami na ochranu týchto kritických aktív.“
