Apache module maakt hackers langer onzichtbaar
Gehackte websites zijn een voorname reden dat internetgebruikers met malware besmet raken en aanvallers weten zich steeds vaker succesvol te verbergen. De aanvallers plaatsten een iframe of JavaScript op de website, die bezoekers naar een kwaadaardige pagina wijst. Op deze pagina staan verschillende exploits die ongepatchte software bij de bezoekers gebruiken om malware op de computer te installeren. Het vinden van de kwaadaardige code op de pagina is vaak vrij eenvoudig.
Module
Om langer toegang tot gehackte websites te houden installeren de aanvallers kwaadaardige Apache modules op de gehackte webservers. Deze modules verbergen zichzelf en de aanwezigheid van een injectie voor systeem- en webbeheerders, beveiligingsonderzoekers en de concurrentie uit het cybercrime-circuit, aldus Artem Gololobov van beveiligingsbedrijf Websense.
De laatste tijd zou de beveiliger meer tools zien zoals webserver-rootkits voor het injecteren en verbergen van kwaadaardige code in alle websites die op de webserver gehost worden. "In het verleden werden deze tools alleen verkocht in gesloten kringen en aan een kleine groep mensen", zegt Gololobov. Tegenwoordig zouden de tools steeds vaker worden aangetroffen.
IP-adres
Een voorbeeld van zo'n tool is de "module Apache/2", die voor 1.000 dollar wordt aangeboden. Naast het injecteren van iframes, hebben dit soort modules een lange levensduur en weten zich via een 'stealth mode' succesvol te verbergen voor beheerders.
Hiervoor verzamelt de module de IP-adressen waarmee de beheerder inlogt. Zodra de module ziet dat een systeembeheerder inlogt, wordt de stealth mode geactiveerd en is de injectie niet meer zichtbaar. Zodra de beheerder uitlogt, wordt de module weer actief.
Dit gaat alleen over Windows.
Wat voor software adviseren jullie voor het opsporen van malware/rootkits voor Linux?
Dus in dit artikel herhaal ik hem nog maar eens een keer.
Hoe vind je malware op je Linux machine (server of werkstation)?
Ik heb wel wat antieke scriptjes gevonden die naar files met de naam ... enzo zoeken,
maar dat soort dingen is hardcoded voor 1 bepaalde malware. Bestaan er geen
fatsoenlijke malware scanners voor Linux?
eerder bij gesteld is en waarbij er geen antwoord kwam. Dat artikel deed alsof malware exclusief iets
voor windows is en dat betwijfel ik.
Met dat soort "zoek verdachte files" scripts ga je een echte rootkit natuurlijk niet vinden.
Ik dacht meer aan een bootable CD of zo iets.
Avast
AVG
BitDefender
ClamAV
hebben ook allen Linux-oplossingen...
En wat SirDice zei klopt ook, Rootkit hunter is ingebouwd in BR2..
LiveCD's voor Linux-servers ken ik niet.
En hoe kom je er bij dat dit artikel alleen voor Windows geld? Het gaat over Apache...
(wel die hashes ergens anders opslaan, anders heb je er niet veel aan)
Iets dergelijks bestaat al zo'n 20 jaar, http://sourceforge.net/projects/tripwire/.
(wel die hashes ergens anders opslaan, anders heb je er niet veel aan)
Super!
Dat is leuk, maar je moet dit gebruiken voor je een mogelijk probleem hebt, en met de
huidige rootkits ook vanaf een aparte opstart CD. Dat laatste deed men daar ook niet.
(maar 20 jaar geleden was dit ook nog niet echt in de picture)
Maar die rkhunter heeft eigenlijk hetzelfde principe, alleen daarnaast kan hij ook nog
zoeken naar een lijst malware die er in gebakken zit. Het werkt echter niet helemaal
goed want hij geeft ook warnings die weliswaar de situatie beschrijven maar geen infectie.
(bijv dat een commando een scrpt is of dat er een .directory in /dev staat)
Hier wreekt zich dat alle Linux distributies anders zijn, en wat de een ziet als een
potentieel probleem is op het systeem van een ander de normale situatie.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
