Гибридный ботнет для Windows научился захватывать Linux-системы

Ботнеты редко сочетают функции DDoS и криптомайнеров, но Lucifer — как раз такой случай. Ранее он специализировался только на Windows, но теперь может атаковать и Linux. Эксперт подозревают, что его разработали для компрометации систем в дата-центрах.

Расширенный динамический диапазон

Гибридный ботнет, ранее специализировавшийся на установке криптомайнеров на системы под Windows, теперь активно заражает и машины под Linux.

Впервые замеченный в мае 2020 г., ботнет атакует системы под Windows с помощью эксплойтов для нескольких высокоопасных и критических уязвимостей в Windows, а также посредством брутфорса на открытые порты TCP 135 (RPC) и 1433 (MSSQL). Он также снабжен функциональностью для осуществления DDoS-атак. На взломанную таким образом систему устанавливаются средства генерации криптовалюты Monero (XMRig).

Новая версия, атакующая Linux, аналогично нацелена на установку криптомайнеров и запуск DDoS-атак через протоколы TCP, UCP, ICMP, а также атак через HTTP.

Функциональность, связанная с Windows, тоже расширилась: теперь вредонос может красть реквизиты доступа и распространять вредонос по локальным сетям с помощью печально известного скрипта Mimikatz.

Дата-центры в прицеле?

Исследователи компании Netscout, проанализировавшие новую версию ботнета, отметили, что теперь он в теории может компрометировать дата-центры и использовать их мощности — вычислительные ресурсы и каналы связи — для организации особо мощных атак.

«Обычно Linux-ботнеты состоят из плохо защищенных IoT-устройств с массой уязвимостей; таких устройств в Сети великое множество, но большинство из них обладают малой мощностью и используют каналы связи с малой пропускной способностью, — говорит Михаил Зайцев, эксперт по информационной безопасности компании SEC Consult Services. — Скомпрометированный сервер в ЦОД — это совсем другой уровень мощностей, и, соответственно, возможностей и для криптомайнинга, и для DDoS-атак. В случае, если этот ботнет покажет, что гибридная модель DDoS-криптоджекер себя оправдывает, его аналоги начнут плодиться как грибы после дождя».Источник

kalt12 писал(а):

Простому пользователю не стоит даже беспокоится

Однозначно, в Линухе, во всяком софте, платформах постоянно находят дыры, латают и закрывают, это регулярная работа сисадмов.

КарКарыч писал(а):

Не увлекайтесь этими сайтами. А то волосы на ладошках и потеря зрения

Я узнаю о вашем широком жизненном опыте всё больше и больше )

igordz писал(а):

Ну фсё, теперича упоротые линуксоиды, перенаправят свои проклятья с Билла нашего Гейтса, на "Люцефера"...
Ну а ежели сурьёзно, то не понимаю, что мешает закрыть в Системе удаленный вход root-ом по ssh (пущай народ ломится через su), да и как при таком раскладе, энтот Linux-ботнет, не зная имени юзера, будет брутить пароль? ИМХО, в очередной раз кошмарят народ на пустом месте, натягивая пингвина на вакуум.

Не читали про историю, как через sendmail получили доступ root? Почитайте. Увлекательно.

Verchovcev писал(а):

Единственный козырь линукса тю-тю? )))

Интересно какой? Слабые дефолтные пароли у iot - устройств?)) На мою малину год назад майнер закачали только потому, что был открыт ssh наружу и доступ рута с относительно слабым паролем. А так под простым юзером что можно сделать? Линукс со временем становится только лучше

monkdt писал(а):

Линукс со временем становится только лучше

Соглашусь

КарКарыч писал(а):

igordz писал(а):

Ну фсё, теперича упоротые линуксоиды, перенаправят свои проклятья с Билла нашего Гейтса, на "Люцефера"...
Ну а ежели сурьёзно, то не понимаю, что мешает закрыть в Системе удаленный вход root-ом по ssh (пущай народ ломится через su), да и как при таком раскладе, энтот Linux-ботнет, не зная имени юзера, будет брутить пароль? ИМХО, в очередной раз кошмарят народ на пустом месте, натягивая пингвина на вакуум.

Не читали про историю, как через sendmail получили доступ root? Почитайте. Увлекательно.

Что за история?

igordz писал(а):

да и как при таком раскладе, энтот Linux-ботнет, не зная имени юзера, будет брутить пароль?

Будет брутить пару логин-пароль, сложность повышается, но суть не сильно меняется. А где информация про брут?

КарКарыч писал(а):

как там крипта спасает от произвола государства еще мало кому известно, но как крипта провоцирует взлом систем по всему миру - очевидный факт. Опять средство для получения свободы на поверку выходит разящим молотом произвола и беззакония

Захваченные мощности можно использовать разными способами, только в тексте статьи названы 2 варианта (крипта и DDoS). Не было бы криптовалют - продавали бы DDoS или брут чего-нибудь.

Цитата:

Не читали про историю, как через sendmail получили доступ root? Почитайте. Увлекательно.

Ну получили и получили. А исчо, в "Метасплойт" полно инструментария, для компрометации root, а WinRar пакует файлы, и Pr редактирует видео...только каким боком всё это к обсуждаемому ботнету?

Цитата:

Будет брутить пару логин-пароль, сложность повышается...

Ога, они же все, эти "пары", строго под ручку бродят :поцелуй:

, прям по "нормализованным" базам..

monkdt писал(а):

Линукс со временем становится только лучше

...Это верно!.. :да:

ближе к теме, товарищи... :приветствую:

подробнее, кто знает- что отключать, что закрывать? :умничает:

для убунто
Как найти открытый порт?
sudo ss -tulwn | grep LISTEN
Как закрыть порт?
sudo ufw deny "номер порта" :подмигивание:

а дальше???

aforte

как видно из описания брутфорсят 135 порт. Сколько я винду помню всегда были дыры у служб висящих на этом порту, ничего не изменилось. Но у хацкеров в приоритете сервера и базы данных, поэтому отдельным личностям можно не парится даже на голимом решете. Просто усилия затраченные на взлом компа васи пупкина не равноценны получаемым результатам. Если только хацкер действительно знает что можно у вас можно утащить нечто ценное.s

monkdt писал(а):

Просто усилия затраченные на взлом компа васи пупкина не равноценны получаемым результатам.

...Справедливо. Потел, потел, зашёл, а там всё зашифровано. Класс!.. :подмигивание:

Да, в сфере вебсерверов, например, могут поживиться. Там дыр хватает. Особо "умным": а зачем права рут? Можно и от пользователей, от которых бегают какие-то службы, например, httpd, запускать что-либо ещё, или в функционал взломанного сайта встраивать.

КарКарыч писал(а):

Не читали про историю, как через sendmail получили доступ root? Почитайте. Увлекательно.

sendmail - это такая древность, не мудрено что такое могло произойти. Когда-то и telnet был нормой для удаленного администрирования серверов.

peacedeathtoyou писал(а):

Когда-то и telnet был нормой

Ах, телнет, и скупая мужская слеза .... :смех:

monkdt писал(а):

Просто усилия затраченные на взлом компа васи пупкина не равноценны получаемым результатам.

Не обязательно у Васи Пупкина красть информацию, его решето просто может стать частью ботнета, а если это игровое решето - то как еще одна машина для майнинга.