Trojaans paard infecteert 562 Linux-servers
Een Trojaans paard dat Linux-servers infecteert, onder andere bij grote hostingproviders, heeft inmiddels 562 machines besmet en wordt actief onderhouden om detectie door anti-virusbedrijven te bemoeilijken. Het gaat om de Sshdkit Trojan, waarvan zowel een 32-bit als 64-bit versie bestaat. Eenmaal actief injecteert de Trojan kwaadaardige code in het sshd proces.
Deze code wordt gebruikt om de inloggegevens van gebruikers te stelen. Zodra een gebruiker inlogt worden zijn gebruikersnaam en wachtwoord naar een remote server gestuurd. Het Russische anti-virusbedrijf Dr. Web wist één van deze servers te kapen en kon zo het aantal besmette servers achterhalen.
Infecties
In mei stuurde de malware de gegevens van 562 besmette Linux-servers naar de Command & Control-server die Dr. Web had overgenomen. In maart stond de teller nog op 476. De makers van de Linux-malware hebben inmiddels een nieuwe variant voor 64-bit Linux-versies ontwikkeld.
Deze versie gebruikt een tekststring versleuteld met een 128-bit RSA encryptiesleutel om de remote server te bepalen waar de gestolen gegevens naar toe moeten.
"Aangezien Sshdkit criminelen in staat stelt om informatie te bemachtigen waarmee ze ongeautoriseerde servertoegang kunnen krijgen, vormt het een grote dreiging voor Linux-servers", aldus de virusbestrijder. Hoe de malware zich precies verspreidt is nog altijd onbekend.
http://itsafetynews.blogspot.be/2013/02/malicious-code-sshdkit-attacks-linux.html
beetje aandacht trekken van DrWeb omwille van marketing?
Nouja een ding dan, een tip om SSH goed te beveiligen.
Ik heb al jaren lang een access list op SSH waardoor het alleen vanaf bepaalde vaste adressen bereikbaar is.
De DENY van die lijst vangt heel wat connectie pogingen af... van mensen die er niks te zoeken hebben.
Linux mint schoon installeren vanaf installatiebestand (hash controleren). Tripwire installeren / configureren. Dat doe je overigens niet "eventjes".
En af en toe even wireshark laten lopen om te zien wat er allemaal naar buiten gaat.
Geen gebrek in de programmatuur, maar een beoordelingsfout van de gebruikers en of systeembeheerder.
Als het is wat Dr. Web beweert, dan gaat het dus niet om een zwakte in de SSH daemon of de Linux kernel.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
