Контакты
Подписка 2025
ITSEC 2025
Интеграция безопасности в процессы внутренней разработки. 3-4 июня на Форуме ITSEC 2025 (весна)
Регистрируйтесь и участвуйте!

Linux-троян Stantinko теперь маскируется под web-сервер Apache

26/11/20

hack68-2Операторы одного из самых старых существующих на сегодняшний день активных ботнетов Stantinko обновили свой троян для Linux, и теперь для обхода обнаружения он маскируется под процесс легитимного web-сервера Apache (httpd).

Ботнет Stantinko впервые был обнаружен в 2012 году и изначально атаковал только пользователей Windows. Вредоносное ПО распространялось через взломанные программы или в комплекте с другими приложениями и использовалось для отображения на зараженной системе нежелательной рекламы или криптовалютных майнеров.

Когда прибыль от вредоносного ПО стала расти, операторы ботнета стали модернизировать свой код. К примеру, в 2017 году появилась версия трояна для Linux-устройств. Маскируясь под прокси SOCKS5, данная версия вредоноса превращала зараженные Linux-устройства в узлы в большей прокси-сети. Зараженные системы использовались для осуществления брутфорс-атак на системы управления контентом (CMS), базы данных и другие web-системы.

После компрометации системы операторы Stantinko повышают свои привилегии для доступа к ОС (Linux или Windows) устанавливает копию вредоносного ПО и криптомайнер.

Версия обнаруженного в 2017 году Linux-трояна была 1.2. В недавнем отчете специалисты ИБ-компании Intezer Labs описали версию 2.17. Новая версия вредоносного ПО меньше весит и содержит гораздо меньше функций, чем версия трехгодичной давности, что довольно необычно, ведь с годами, как правило, вредоносные программы становятся объемнее.

Операторы вредоноса удалили из своего кода все второстепенное, оставив только самые главные функции, в том числе функцию прокси. Еще одна причина уменьшения трояна в размере – желание разработчиков свести к минимуму количество оставляемых им цифровых отпечатков. Чем меньше строк в коде, тем сложнее антивирусным решениям их обнаруживать.

В новой версии трояна разработчики изменили имя процесса, под который он маскируется. Теперь это процесс httpd – имя, обычно используемое более известным web-сервером Apache. Причина заключается в желании скрыть вредоносную активность с глаз пользователей, поскольку web-сервер Apache включен во многие дистрибутивы Linux по умолчанию.

Темы:LinuxУгрозыботнетIntezer Labs
КИИ
Защита контейнеров и микросервисной разработки на Форуме ITSEC 2025
Регистрируйтесь и участвуйте 4 июня 2025 →
Статьи по темеСтатьи по теме

  • Куда российским компаниям мигрировать с Active Directory?
    Несмотря на то, что Active Directory является проверенным и широко используемым решением для управления идентификацией и доступом в Windows-средах, существует веская причина, по которой российские компании рассматривают переход на альтернативные каталоги. Эта причина – миграция с иностранных операционных систем, и как следствие – отказ от их экосистем и инфраструктур, построенных на их основе.
  • Решения Рутокен для аутентификации в российские ОC и информационные системы
    Андрей Шпаков, руководитель проектов по информационной безопасности в Компании "Актив"
    Устройства Рутокен являются передовыми аппаратными средствами пользовательской аутентификации на российском рынке. Совместно с другими средствами защиты они обеспечивают полный цикл MFA. Компания "Актив" создает не только аппаратные, но и программные решения, в частности, Рутокен Логон.
  • О безопасности заимствованных компонентов Open Source
    Алексей Хорошилов, руководитель Центра исследований безопасности системного программного обеспечения, ведущий научный сотрудник ФГБУН “ИСП РАН”
    Open Source стал неотъемлемой частью современного мира. Сегодня уже нет необходимости объяснять, что это такое, – с этим явлением все давно свыклись и приняли его как данность. Однако возникает другой вопрос: как эффективно и зрело работать с Open Source?
  • Пять мифов о безопасности российских операционных систем
    Роман Мылицын, руководитель отдела перспективных исследований “Группы Астра”
    Использование российских операционных систем на основе Linux для рабочих станций связано со множеством мифов, которые могут отпугивать пользователей и компании от внедрения. Разберем и развенчаем несколько самых распространенных заблуждений, касающихся информационной безопасности и корпоративного использования российских ОС на примере Astra Linux.
  • Secret Disk для Linux: прозрачное шифрование дисков на рабочих станциях
    Денис Суховей, руководитель департамента развития технологий компании Аладдин
    Secret Disk для Linux обеспечивает предотвращение утечек конфиденциальной информации с помощью шифрования на рабочих станциях с отечественными ОС семейства Linux.
  • Ideco NGFW VPP: новый высокопроизводительный подход к обработке трафика
    Дмитрий Хомутов, директор компании “Айдеко”
    К обычному Ideco NGFW. в 2023 г. добавилась высокоскоростная версия Ideco NGFW VPP. Рассмотрим, за счет чего удалось резко повысить производительность решения.

Участвуйте в проектах

редакции журнала
"Информационная безопасность" 

КАЛЕНДАРЬ МЕРОПРИЯТИЙ 2025
ПОСЕТИТЬ МЕРОПРИЯТИЯ
ВЫСТУПИТЬ НА КОНФЕРЕНЦИЯХ
СТАТЬ АВТОРОМ
ТБ Форум
Проектирование и защита API на Форуме ITSEC 2025
Посетите 3-4 июня →

Еще темы...

More...