08.06.2024 | Muhstik: армия зомби-серверов готова к новой DDoS-атаке |
Известный ботнет Muhstik начал активно эксплуатировать исправленную в прошлом году уязвимость в Apache RocketMQ для захвата уязвимых серверов и увеличения масштабов своих DDoS -атак. По информации компании Aqua Security , специализирующейся на облачной безопасности, Muhstik стал одной из главных угроз для IoT -устройств и серверов на базе Linux , заражая их для последующего майнинга криптовалют и проведения распределённых атак отказа в обслуживании (DDoS). Впервые документированные атаки с использованием этого вредоносного ПО были зафиксированы в 2018 году. Muhstik активно использует известные уязвимости в веб-приложениях для своего распространения. Наиболее значимой из них стала уязвимость CVE-2023-33246 с критическим уровнем угрозы (CVSS 9.8), которая позволяет удалённым атакующим выполнять произвольный код, подделывая контент протокола RocketMQ или используя функцию обновления конфигурации. Злоумышленники используют эту уязвимость для получения начального доступа к системе, после чего запускают скрипт с удалённого IP-адреса. Этот скрипт загружает основной вредоносный файл Muhstik («pty3») с другого сервера. Вредоносный код затем копируется в несколько директорий и изменяет файл «/etc/inittab», чтобы обеспечивать автоматический запуск при перезагрузке сервера. Для маскировки вредоносный файл получает имя «pty3», что помогает ему скрываться под видом законного псевдотерминала. Также файл копируется в директории «/dev/shm», «/var/tmp», «/run/lock» и «/run», что позволяет ему выполняться прямо из памяти и избегать обнаружения. Muhstik способен собирать системные метаданные, перемещаться на другие устройства через SSH и устанавливать связь с C2 -доменом через IRC-протокол для получения дальнейших инструкций. Основная цель вредоносного ПО — использовать заражённые устройства для проведения различных DDoS-атак, перегружая сети жертв. Несмотря на публичное раскрытие уязвимости CVE-2023-33246 более года назад, в Интернете до сих пор остаётся более 5200 уязвимых экземпляров Apache RocketMQ. Организациям необходимо обновить ПО до последней версии, чтобы минимизировать риски. Согласно данным AhnLab Security Intelligence Center (ASEC), уязвимые MS-SQL серверы также активно атакуются различными типами вредоносного ПО, включая программы-вымогатели и трояны для удаленного доступа. Эксперты рекомендуют администраторам использовать сложные пароли и регулярно их менять, а также своевременно устанавливать обновления безопасности. |
Проверить безопасность сайта