Un'ondata di attacchi malware scoperta di recente è stata individuata utilizzando una varietà di tattiche per asservire macchine suscettibili con credenziali amministrative facili da indovinare per cooptarle in una rete con l'obiettivo di estrarre illegalmente criptovaluta.
"Tattica principale del del malware è quello di diffondere, approfittando di sistemi vulnerabili e delle credenziali amministrative deboli. Una volta che sono stati infettati, questi sistemi vengono poi utilizzati per la mia criptovaluta," sicurezza Akamai ricercatore Larry Cashdollar ha detto in una settimana scorsa write-up pubblicato .
Si dice che il malware PHP - nome in codice "Capoae" (abbreviazione di "Сканирование", la parola russa per "Scanning") - venga consegnato agli host tramite un'aggiunta backdoor a un plug-in WordPress chiamato "download-monitor", che viene installato dopo aver forzato con successo le credenziali di amministratore di WordPress. Gli attacchi coinvolgono anche l'implementazione di un binario Golang con funzionalità di decrittazione, con i payload offuscati recuperati sfruttando il plug-in trojanizzato per effettuare una richiesta GET da un dominio controllato da un attore.
È inclusa anche una funzionalità per decrittografare ed eseguire payload aggiuntivi, mentre il binario Golang sfrutta gli exploit per più difetti di esecuzione del codice remoto in Oracle WebLogic Server ( CVE-2020-14882 ), NoneCms ( CVE-2018-20062 ) e Jenkins ( CVE-2019-1003029 e CVE-2019-1003030 ) per farsi strada con la forza bruta nei sistemi che eseguono SSH e infine lanciare il software di mining XMRig.
Inoltre, la catena di attacco si distingue per i suoi trucchi di persistenza, che includono la scelta di un percorso di sistema dall'aspetto legittimo sul disco in cui è probabile che si trovino i binari di sistema e la generazione di un nome di file di sei caratteri casuale che viene successivamente utilizzato per copiare se stesso nella nuova posizione sul sistema prima di eliminare il malware al momento dell'esecuzione.
"L'uso di molteplici vulnerabilità e tattiche da parte della campagna Capoae mette in evidenza l'intento di questi operatori di ottenere un punto d'appoggio sul maggior numero possibile di macchine", ha affermato Cashdollar. "La buona notizia è che le stesse tecniche che raccomandiamo alla maggior parte delle organizzazioni per proteggere i sistemi e le reti sono ancora valide qui".
"Non utilizzare credenziali deboli o predefinite per server o applicazioni distribuite", ha aggiunto Cashdollar. "Assicurati di mantenere aggiornate le applicazioni distribuite con le ultime patch di sicurezza e controllale di tanto in tanto. Tieni d'occhio il consumo di risorse di sistema superiore al normale, processi in esecuzione strani/imprevisti, artefatti sospetti e accessi sospetti voci di registro, ecc., ti aiuteranno a identificare le macchine potenzialmente compromesse."
Commenti
Posta un commento