Το DDoS botnet Muhstik εκμεταλλεύεται μια ευπάθεια στο Apache RocketMQ για να μολύνει ευάλωτους διακομιστές και να επεκτείνει την κλίμακα των επιθέσεων του. Αξίζει να σημειωθεί ότι αυτή η ευπάθεια έχει διορθωθεί.
Σύμφωνα με έκθεση της Cloud Aqua, το Muhstik botnet στοχεύει συσκευές IoT και Linux-based servers και τα μολύνει για να τα χρησιμοποιήσει για cryptocurrency mining και Distributed Denial of Service (DDoS) επιθέσεις.
Το botnet ανακαλύφθηκε για πρώτη φορά το 2018 και οι επιθέσεις που συνδέονται με αυτό, συνήθως, εκμεταλλεύονται γνωστές ευπάθειες ασφαλείας για την εξάπλωσή τους.
Πιο πρόσφατα, το botnet Muhstik χρησιμοποίησε την κρίσιμη ευπάθεια CVE-2023-33246 (βαθμολογία CVSS: 9,8) στο Apache RocketMQ, που επιτρέπει σε έναν απομακρυσμένο και μη εξουσιοδοτημένο εισβολέα να εκτελεί απομακρυσμένη εκτέλεση κώδικα παραποιώντας το RocketMQ ή χρησιμοποιώντας το update configuration function.
Το μέλλον της φιλοξενίας: Το πρώτο 3D-printed ξενοδοχείο
Δείτε επίσης: Το Botnet Pumpkin Eclipse κατέστρεψε 600.000 δρομολογητές
Με την εκμετάλλευση της ευπάθειας επιτυγχάνεται η αρχική πρόσβαση στο δίκτυο-στόχο. Αμέσως μετά, οι επιτιθέμενοι εκτελούν ένα shell script που φιλοξενείται σε μια απομακρυσμένη διεύθυνση IP, η οποία στη συνέχεια είναι υπεύθυνη για την ανάκτηση του Muhstik binary (“pty3”) από άλλο διακομιστή.
“Αφού αποκτήσει τη δυνατότητα να ανεβάσει το κακόβουλο payload εκμεταλλευόμενος την ευπάθεια RocketMQ, ο εισβολέας είναι σε θέση να εκτελέσει τον κακόβουλο κώδικά του, ο οποίος κατεβάζει το Muhstik botnet“, δήλωσε ο ερευνητής ασφαλείας Nitzan Yaakov.
To Persistence επιτυγχάνεται μέσω της αντιγραφής του malware binary σε πολλούς καταλόγους και μέσω της επεξεργασίας του αρχείου /etc/inittab — το οποίο ελέγχει ποιες διεργασίες θα ξεκινήσουν κατά την εκκίνηση ενός διακομιστή Linux — για αυτόματη επανεκκίνηση της διαδικασίας.
Επιπλέον, η ονομασία του binary ως “pty3” είναι πιθανώς μια προσπάθεια να μεταμφιεστεί ως pseudoterminal (“pty”) και να αποφύγει τον εντοπισμό. Επιπλέον, το κακόβουλο λογισμικό αντιγράφεται σε καταλόγους όπως /dev/shm, /var/tmp, /run/lock και /run, γεγονός που του επιτρέπει να εκτελείται απευθείας από τη μνήμη. Άλλη μια τακτική για την αποφυγή του εντοπισμού.
Το Muhstik botnet διαθέτει διάφορες ενδιαφέρουσες δυνατότητες. Συλλέγει μεταδεδομένα συστήματος, εξαπλώνεται σε άλλες συσκευές μέσω secure shell (SSH) και δημιουργεί επικοινωνία με ένα command-and-control (C2) domain για λήψη περαιτέρω οδηγιών χρησιμοποιώντας το πρωτόκολλο Internet Relay Chat (IRC).
Ο τελικός στόχος του κακόβουλου λογισμικού είναι να χρησιμοποιήσει τις παραβιασμένες συσκευές για να εκτελούν διαφορετικούς τύπους επιθέσεων εναντίον στόχων, προκαλώντας μια κατάσταση DDoS.
Δείτε επίσης: Η αμερικανική κυβέρνηση επιβάλει κυρώσεις στους hackers του botnet 911 S5
Δεδομένου ότι υπάρχουν ακόμα 5.216 ευάλωτα instances του Apache RocketMQ στο Διαδίκτυο, είναι σημαντικό οι οργανισμοί να λάβουν μέτρα για ενημέρωση στην πιο πρόσφατη έκδοση.
“Επιπλέον, σε προηγούμενες καμπάνιες, η δραστηριότητα cryptomining εντοπίστηκε μετά την εκτέλεση του κακόβουλου λογισμικού Muhstik“, είπε ο Yaakov. “Αυτοί οι στόχοι πάνε χέρι-χέρι, καθώς οι επιτιθέμενοι προσπαθούν να διαδώσουν και να μολύνουν περισσότερα μηχανήματα, κάτι που τους βοηθά στην αποστολή τους να εξορύξουν περισσότερα κρυπτονομίσματα χρησιμοποιώντας την ισχύ των παραβιασμένων μηχανημάτων“.
Προστασία από malware botnet
Για να προστατευτείτε από το Muhstik και άλλα Botnet, είναι σημαντικό να διατηρείτε το λογισμικό και το λειτουργικό σύστημα της συσκευής σας ενημερωμένα. Οι επιθέσεις botnet συχνά εκμεταλλεύονται γνωστές ευπάθειες.
Επιπλέον, είναι σημαντικό να χρησιμοποιείτε ένα αξιόπιστο πρόγραμμα ασφάλειας που παρέχει προστασία από malware και botnets. Αυτό θα πρέπει να περιλαμβάνει την πραγματοποίηση τακτικών σαρώσεων για την ανίχνευση και την απομάκρυνση τυχόν επιθέσεων.
Δείτε επίσης: CatDDoS botnet: Αυξημένες μολύνσεις για διεξαγωγή επιθέσεων DDoS
Η χρήση δυνατών κωδικών πρόσβασης και η αλλαγή τους τακτικά είναι άλλος ένας τρόπος για να προστατευθείτε από το Botnet (π.χ. Muhstik ). Οι επιθέσεις botnet συχνά προσπαθούν να μαντέψουν τους κωδικούς πρόσβασης, οπότε η χρήση δυνατών κωδικών πρόσβασης και η αλλαγή τους τακτικά μπορεί να βοηθήσει στην προστασία των λογαριασμών σας.
Τέλος, η εκπαίδευση στην ασφάλεια των πληροφοριών μπορεί να είναι ιδιαίτερα χρήσιμη. Η κατανόηση των τρόπων με τους οποίους οι επιθέσεις botnet λειτουργούν και των τεχνικών που χρησιμοποιούν μπορεί να σας βοηθήσει να αναγνωρίσετε και να αποφύγετε τις επιθέσεις.
Πηγή: thehackernews.com
