Eset odhalil komplexní Linuxovou hrozbu útočící na superpočítače

8. 2. 2021. (redaktor: František Doupal, zdroj: Eset)
Analytici Esetu objevili malware Kobalos, který útočí na superpočítače nebo vysoce výkonné počítačové klastry (HPC). Eset na zmírňování útoků na tyto sítě vědeckého výzkumu spolupracoval s bezpečnostním týmem Evropské organizace pro jaderný výzkum (CERN) a dalšími organizacemi.

Obětí škodlivého kódu byl i velký asijský poskytovatel internetového připojení, severoamerický výrobce bezpečnostního softwaru a také několik soukromě vlastněných serverů. Eset zkontaktoval všechny známé oběti tohoto a poskytl jim pomoc. Skutečný úmysl útočníků se zatím odhalit nepodařilo. Rovněž není známo, jak dlouho se škodlivý kód šíří.

Výzkumníci společnosti Eset prováděli reverzní analýzu tohoto malého, ale složitého malwaru, který je přenositelný do mnoha operačních systémů včetně Linuxu, BSD a Solarisu. Zjištění naznačují, že by mohl běžet i na Aix a Windows.

„Tento malware jsme pojmenovali Kobalos pro jeho malou velikost kódu a množství triků. V řecké mytologii je kobalos malé a zlomyslné stvoření,“ vysvětlil Marc-Étienne Léveillé, výzkumník společnosti Eset, který škodlivý kód Kobalos zkoumal. „Je třeba zdůraznit, že taková úroveň propracovanosti se v Linuxovém malwaru vyskytuje pouze zřídka,“ doplnil.

Kobalos je backdoor obsahující různé příkazy, které neodhalují skutečný úmysl útočníků. „Ve zkratce poskytuje vzdálený přístup k souborovému systému, umožňuje vytvářet terminálové relace a poskytuje proxy připojení k dalším serverům infikovaným tímto malwarem,“ popsal Léveillé.

Jakýkoli server napadený Kobalem může být jediným vzdáleným příkazem operátora proměněný na řídící a kontrolní (C&C) server. Protože IP adresy a porty kontrolního serveru jsou pevně nakódované do spustitelného souboru, mohou operátoři vygenerovat nové vzorky Kobalos, které se pak z dalších infikovaných zařízení připojují k tomuto novému C&C serveru a poslouchají jeho příkazy. Ve většině systémů kompromitovaných Kobalem je navíc SSH klient - program zodpovědný za zajištění zabezpečené komunikace - infikovaný tak, aby kradl přihlašovací údaje.

„Kdokoliv, kdo na napadeném zařízení používá SSH klienta, riskuje kompromitaci přihlašovacích údajů. Tyto údaje mohou pak útočníci použít k pozdější instalaci Kobalu do nově objeveného serveru,“ uzavřel Léveillé.

Tuto hrozbu zmírní přidání vícefaktorové autentizace do připojování k SSH serveru. Vypadá to totiž tak, že použití ukradených přístupových údajů je jedním ze způsobů, jak se Kobalos šíří do různých systémů.

Bezpečnostní řešení společnosti Eset detekují škodlivý kód Kobalos jako Linux/Kobalos nebo Linux/Agent.IV. Škodlivý kód, který zachytává přihlašovací údaje, jako Linux/SSHDoor.EV, Linux/SSHDoor.FB nebo Linux/SSHDoor.FC.

Další technické detaily naleznete v článku v magazínu WeLiveSecurity.com.

Podobné články

České firmy čelí vlně falešných e-mailů

2. 2. 2023. (redaktor: František Doupal, zdroj: GFI Software)
Podle průzkumu GFI Software provedeného v lednu 2023 mezi partnery v ČR a SR je aktuálně hlavním vektorem kyberútoků elektronická pošta, především kvůli rozšířenosti phishingových a falešných e-mailů. Čtěte více

Které výhody automatizace nejvíce využívají lokální prodejci?

30. 1. 2023. (redaktor: František Doupal, zdroj: Zebra systems)
Podle průzkumu společnosti Zebra systems již 39 % jejích prodejců nabízí služby typu MSP či MSSP (managed security service provider). Jednou z hlavních motivací přechodu na řízené služby je automatizace rutinních činností, která jim přináší hlavně vyšší úroveň poskytované bezpečnosti, vyšší produktivitu a rychlejší reakci na bezpečnostní incidenty. Čtěte více

Počet DDoS útoků na české firmy byl i v prosinci nadprůměrný

27. 1. 2023. (redaktor: František Doupal, zdroj: ComSource)
Počet i intenzita DDoS útoků na české firmy byly v prosinci podobně nadprůměrně vysoké, jako o měsíc dříve, kdy výrazně vzrostly. Útočníci napadající servery provozující služby či internetové stránky v posledních měsících také stále více hledají úplně nové cesty svých DDoS útoků, prodlužují dobu jejich trvání a rozšiřují počty IP adres, na které útočí. Čtěte více

IT bezpečnost v roce 2023: Problematika multicloudů a supply chain attack

27. 1. 2023. (redaktor: František Doupal, zdroj: Y Soft)
Dnešní aplikace již dávno nejsou monolitické jako dříve. Důvod je prozaický – nutná rychlost změn vycházející z dynamicky se měnících požadavků zákazníků a s tím spojené potřeby relativní nezávislosti vývojářských týmů, podílejících se na vývoji různých částí aplikace. Čtěte více