💻 За 15 лет ботнет Ebury скомпрометировал более 400 000 Linux-серверов

Ботнет Ebury, существующий с 2009 года, заразил почти 400 000 Linux-серверов, и примерно 100 000 из них все еще скомпрометированы, сообщают аналитики ESET.

ESET наблюдает за Ebury уже более десяти лет, и на этой неделе исследователи сообщили, что недавние действия правоохранительных органов позволили им получить представление о деятельности малвари за последние пятнадцать лет.

Так, последнее расследование ESET проводилось в сотрудничестве с голландским Национальным подразделением по борьбе с преступлениями в сфере высоких технологий (NHTCU), которое недавно изъяло backup-сервер, использовавшийся киберпреступниками.

Голландские аналитики отмечают, что операторы Ebury порой используют поддельные или ворованные личности (обычно, украденные через Vidar Stealer) и даже берут псевдонимы других киберпреступников, чтобы ввести в заблуждение правоохранителей.

Судя по последним атакам Ebury, операторы малвари предпочитают взламывать хостинг-провайдеров и осуществлять атаки на цепочки поставок, атакуя клиентов, арендующих виртуальные серверы у взломанных организаций.

Обычно первоначальная компрометация осуществляется с помощью украденных учетных данных, которые хакеры используют для проникновения на серверы. Затем малварь извлекает список входящих/исходящих SSH-соединений из wtmp и файла known_hosts, а также крадет ключи аутентификации SSH, которые в итоге используются для попыток входа в другие системы.
Схема атаки на изображении.

🗄 Подробнее

@linuxkalii

💻 Windows Bootkits Guide от ИБ-специалиста Артема Баранова

Руководство по буткитам Windows, которые начинают работать ещё до загрузки ОС, что позволяет им отслеживать, изменять процесс загрузки, а также бесшумно внедрять руткиты уровня ядра.
Гайд содержит 2 основных раздела: сборник источников с основными отчетами и докладами по буткитам и сводную инфографику.

🗄 Руководство
🗄 Подробнее о буткитах

@linuxkalii

💻 Вымогатель ShrinkLocker использует BitLocker для шифрования данных

Специалисты «Лаборатории Касперского» рассказали, что корпоративные устройства атакует новый вымогатель ShrinkLocker, использующий для шифрования легитимную функцию Windows — BitLocker. Среди целей малвари — промышленные и фармацевтические компании, а также государственные учреждения. Атаки были обнаружены в Мексике, Индонезии и Иордании.

Отчет компании гласит, что для своих атак злоумышленники создали вредоносный скрипт на VBScript (языке, который используется для автоматизации задач на компьютерах под управлением Windows). Этот скрипт проверяет, какая версия Windows установлена на устройстве, и в соответствии с ней активирует BitLocker. При этом малварь способна заражать как новые, так и старые версии ОС — вплоть до Windows Server 2008.

Скрипт изменяет параметры загрузки ОС, а затем пытается зашифровать разделы жесткого диска с помощью BitLocker. Также создается новый загрузочный раздел, чтобы позднее иметь возможность загружать зашифрованный компьютер.

Так, малварь выполняет операции по изменению размеров диска, которые варьируются в зависимости от версии ОС. К примеру, чтобы изменить размер локальных дисков в Windows Server 2008 и 2012, скрипт проверяет основной загрузочный раздел и сохраняет эту информацию. Также он сохраняет индекс других разделов, а затем выполняет следующие действия с помощью diskpart:
— уменьшает размер каждого незагрузочного раздела на 100 МБ, что создает 100 МБ нераспределенного пространства в каждом разделе, кроме загрузочного тома;
— разделяет нераспределенное пространство на новые первичные разделы по 100 МБ;
— форматирует разделы с помощью опции override, которая принудительно демонтирует том, если это необходимо, а затем определяет для каждого из них файловую систему и букву диска;
— активирует разделы;
— если процедура «уменьшения» прошла успешно, скрипт продолжает работу.

🗄 Подробнее

@linuxkalii

🖥 Freeway — инструмент на Python для тестирования и аудита Wi-Fi

— pip install 3way

Используется Freeway интуитивно понятным способом, как видно на скринах

🖥 GitHub

@pythonl