Cryptominer verwijdert beveiligingssoftware van Linux-servers
Onderzoekers hebben een cryptominer ontdekt die beveiligingssoftware van gecompromitteerde Linux-servers verwijdert en concurrerende cryptominers uitschakelt. De cryptominer gebruikt de rekenkracht van besmette servers om de cryptovaluta Monero te delven.
Voordat de cryptominer kan worden geïnstalleerd moet de server eerst worden gecompromitteerd. Hiervoor maken de aanvallers gebruik van bekende kwetsbaarheden in Apache Struts 2, Oracle WebLogic en Adobe ColdFusion. Sommige van de aangevallen kwetsbaarheden zijn al jaren oud en in alle gevallen zijn er beveiligingsupdates beschikbaar, maar niet door de serverbeheerders geïnstalleerd.
Zodra de server is geïnfecteerd worden andere al aanwezige cryptominers uitgeschakeld. Daarnaast voegt de malware iptables rules toe om andere cryptominers te blokkeren. Verder de-installeert de malware verschillende beveiligingsproducten van Alibaba Cloud en Tencent Cloud. Volgens onderzoekers van Palo Alto Networks is dit de eerste malware die cloudbeveiligingsproducten verwijdert.
"Publiek cloudinfrastructuur is een belangrijk doelwit voor deze aanvallers", zegt Xingyu Jin. Hij merkt op dat aanvallers weten dat bestaande cloudbeveiligingsproducten de malware kunnen detecteren en daarom nieuwe manieren zoeken om detectie te voorkomen. In dit geval schakelen ze eerste de cloud monitor service uit, waarna de beveiligingssoftware op dezelfde manier wordt gedeïnstalleerd als een beheerder zou doen.
Ik vraag me af of de hedendaagse Chinese software nog net zo werkt.
- Buffer overflow met de input waardes conform shell-shock
- Fileless malware ofwel enkel bestaand in het memory. De blacklist scan op bekende byte reeksen in files nutteloos
- een tweede versie werkend op DSL modems printers switches routers (IOT).
"Unfortunately, even increased monitoring and increased awareness about exploits does not solve the problems of keeping up with security vulnerabilities. System administrators are required to monitor security sites, vendor sites and intrusion detection logs on a daily basis to keep up with constantly changing security issues. If the current trend of three new security vulnerabilities announced everyday continues, it will become even more difficult, if not impossible, for security managers to manage the problem."
Intussen zijn we bijna 20 jaar verder, er lijkt op het oog weinig veranderd te zijn. Het leest als de actuele situatie.
Uh nee, hierboven worden OSS systemen en Linux benoemd als de techniek welke betrokken is.
Voor de rest zie ik geen verschil.
"Hiervoor maken de aanvallers gebruik van bekende kwetsbaarheden in Apache Struts 2, Oracle WebLogic en Adobe ColdFusion."
Dat is toch duidelijk niet? Begrijpend lezen. Daar zijn cursussen voor.
Enne die Code Red worm, die was Microsoft specifiek. Het verschil met OSS is dat je kan zien wat de softwarefabrikant uitvreet op je systeem. Onder andere om die reden kiezen topbedrijven voor OSS-stacks met Linux of BSD servers. En zelfs Microsoft begint voor OSS te kiezen in hun Windows besturingssysteem: https://mspoweruser.com/hell-freezes-over-as-windows-core-os-to-include-open-source-component/
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
