Daha önce 2020'de Docker kaplarını hedeflemek için kullanılan Linux Crypto-Madencilik kötü amaçlı yazılımın yeni bir versiyonu şimdi Huawei Cloud gibi yeni bulut servis sağlayıcılarına odaklanıyor.
Yeni kampanyanın analizi, kötü amaçlı yazılımın önceki işlevselliğini korurken yeni özelliklerle nasıl geliştiğini açıklayan TrendMicro'daki araştırmacılardan geliyor.
Daha spesifik olarak, daha yeni örnekler, güvenlik duvarı kuralları oluşturma işlevini (ancak hala orada) yorumlamış ve API ile ilgili bağlantı noktalarıyla diğer ana bilgisayarları haritalamak için bir ağ tarayıcısını düşürmeye devam etti.
Bununla birlikte, yeni kötü amaçlı yazılım versiyonu yalnızca bulut ortamlarını hedefler ve şimdi sistemi daha önce bulaşmış olabilecek diğer şifreleme komut dosyalarını arayın ve çıkarır.
Bir Linux sistemini bulaşırken, kötü amaçlı Coinminer, Crypto-Madencilik Kötü Amaçlı Yazılım Distribütörleri tarafından oluşturulan kullanıcıların çıkarılmasını içeren aşağıdaki adımları izleyecektir.
Diğer tehdit aktörleri tarafından oluşturulan kullanıcıları kaldırdıktan sonra, aktörler kendi kullanıcılarını, birçok bulut hedefleme kriptosu için ortak bir adım ekler. Bununla birlikte, diğer birçok kriptominerin aksine, kötü amaçlı yazılım, kullanıcı hesaplarını sudoers listesine ekler, cihaza kök erişimi sağlar.
Cihazda kalıcılığın korunmasını sağlamak için, saldırganlar sistem modifikasyonlarını gerçekleştirmek ve dosya izinlerini kilitli bir duruma değiştirmek için kendi SSH-RSA anahtarlarını kullanırlar.
Bu, başka bir aktör gelecekteki cihaza erişim kazanmış olsa bile, savunmasız makinenin tam kontrolünü alamayacakları anlamına gelir.
Aktörler, Tor Proxy hizmeti, iletişimini ağ tarama algılamasından ve incelemesinden korumak için, anonimlik için tüm bağlantıları geçerken.
Düşen ("Linux64_shell", "ff.sh", "fczyo", "xlinux") ikili dosyaları, bir miktar kokusun seviyesine sahiptir ve TrendMicro, sarma için yerleştirilmiş UPX Packer'ın belirtilerini görmüştür.
Aktörler, otomatikleştirilmiş bir analiz ve algılama hizmeti almasına karşı gizlilik için ikili dosyaları ayarlamak için daha fazla kurcalamaya başladılar.
Bir cihazda bir ayak izi kazandıktan sonra, Hacker'ın komut dosyaları uzak sistemleri kullanır ve kötü amaçlı komut dosyaları ve kriptominer ile bulaştırır.
Bu saldırı sırasında taranan bilinen güvenlik açıkları şunları içerir:
Huawei Cloud nispeten yeni bir hizmettir, ancak Çin teknolojisi devi zaten üç milyondan fazla müşteriye hizmet ettiğini iddia ediyor. Trendmicro, kampanyanın Huawei'yi bilgilendirdi, ancak henüz bir onay almadılar.
Örneklerinizi konuşursanız, güvenlik açığı değerlendirmelerinin ve kötü amaçlı yazılım taramalarını çalıştırmanın bu saldırıya karşı savunacak kadar olamayacağını unutmayın. CSP'nizin güvenlik modelinizi değerlendirmeniz ve daha fazla korumayla tamamlamak için yaklaşımınızı ayarlamanız gerekir.
Bu bulut hedefleyen Crypto madencileri yılın başından bu yana yükselişe geçti ve Crypto değerlerinin yükseldiği sürece, aktörlerin onları daha güçlü ve daha zor hale getirmek için bir teşvik edici olacak.
Omigod: Microsoft Azure VMS Mirai, Miners'ı düşürmek için kullandı
Uluslararası Af Örgütleri Casus Yazılım İşlemine Siber Güvenlik Firması
Rus orgs daha küçük tier ransomware çeteleri tarafından ağır hedeflenen
ViDar Stealer, Mastodon'u sessizce C2 konfigürasyonunu alacak
Yeni UEFI Bootkit, 2012'den beri Windows Cihazlarını Backdoor'a Kullanılmış
Kaynak: Bleeping Computer