29/07/20
Времена, когда вредоносного ПО для Linux практически не существовало, давно канули в Лету. В настоящее время сообщения об угрозах для Linux появляются почти каждую неделю. К примеру, недавно специалисты ИБ-компании Intezer Labs представили подробный анализ нового трояна Doki, которым обзавелась хорошо известная киберпреступная группировка Ngrok, специализирующаяся на майнинге криптовалюты.
Группировка, активная с 2018 года, получила свое название из-за первоначального использования сервиса Ngrok для хостинга своих C&C-серверов. Однако, по данным Intezer Labs, в нынешнем году она изменила тактику и теперь атакует установки Docker, где хранятся незащищенные API.
В изученных исследователями атаках с помощью Docker API киберпреступники развертывали новые серверы внутри облачной инфраструктуры атакуемой компании. Эти серверы работали на Alpine Linux и были заражены вредоносным ПО для майнинга криптовалюты и трояном Doki.
Doki предоставляет атакующим контроль над вновь развернутыми серверами Alpine Linux и тем самым позволяет им следить, чтобы операция по добыче криптовалюты проходила как положено. Хотя в таком функционале нет ничего необычного, по словам исследователей, Doki все же сильно отличается от других подобных троянов.
В частности, исследователей заинтересовало, как Doki определяет URL-адрес C&C-сервера, к которому нужно подключиться для получения инструкций. В отличие от других подобных троянов, подключающихся к вшитым в исходный код IP- или URL-адресам, Doki использует динамический алгоритм DGA (domain generation algorithm). DGA позволяет трояну определять адрес C&C-сервера с помощью Dogecoin API. То есть, операторы трояна могут менять сервер, с которого он получает команды, осуществив всего одну транзакцию из подконтрольного им Dogecoin-кошелька.
Если DynDNS (ddns.net) получает отчет о злоупотреблении текущим URL-адресом C&C-сервера Doki и отключает его, операторам Ngrok достаточно лишь осуществить новую транзакцию, определить значение поддомена, настроить новую учетную запись DynDNS и получить поддомен.
Этот механизм является эффективным способом защиты от отключения бэкэнд-инфраструктуры Doki правоохранительными органами. Для того чтобы это сделать, правоохранителям необходимо захватить контроль над принадлежащим Ngrok кошельком Dogecoin, а это невозможно без криптографического ключа.
