Контакты
Подписка 2025
ТБ Форум 2025
Кибербезопасность. Защита АСУ ТП. Безопасность КИИ. Москва | 11 февраля | ТБ Форум 2025
Регистрируйтесь и приходите!

NoaBot: хакеры модернизировали Mirai для скрытой кражи ресурсов Linux

12/01/24

hack134-Jan-12-2024-09-26-35-1302-AM

ИБ-компания Akamai в своем новом отчете заявляет, что за последний год ранее неизвестное самовосстанавливающееся вредоносное ПО скомпрометировало устройства Linux по всему миру, устанавливая на них программы для майнинга криптовалют, которые необычными способами скрывают свою работу.

Червь представляет собой модифицированную версию ботнета Mirai – вредоносного ПО, которое заражает серверы, маршрутизаторы, веб-камеры и другие устройства интернета вещей (Internet of Things, IoT) на базе Linux, пишет Securitylab. Mirai впервые появился в 2016 году и использовался для проведения масштабных DDoS-атак. В отличие от Mirai, целью которого были DDoS-атаки, новый червь, получивший название NoaBot, устанавливает криптомайнеры, позволяющие злоумышленникам использовать ресурсы зараженных устройств для добычи криптовалюты.

По словам специалистов Akamai, NoaBot демонстрирует неординарные возможности по сокрытию своих действий. Вредоносное ПО использует нестандартные библиотеки и методы шифрования, чтобы затруднить обнаружение и анализ вредоносного ПО.

Вот особенности нового червя:

  • В отличие от стандартного Mirai, который атакует устройства через Telnet, новый червь использует уязвимости в SSH-соединениях;
  • Для распространения NoaBot использует слабые SSH пароли, а не Telnet, как Mirai;
  • Вместо проведения DDoS атак, червь устанавливает модифицированную версию майнера криптовалют XMRig;
  • Конфигурация для подключения майнера к пулу хранится в зашифрованном виде и расшифровывается непосредственно перед запуском XMRig, что затрудняет отслеживание адресов кошельков злоумышленников;
  • Скорее всего червь использует приватный пул для майнинга.
  • NoaBot маскирует свою активность, используя нестандартные библиотеки и обфускацию строк, что затрудняет обнаружение антивирусами и анализ кода.

Несмотря на свою простоту, NoaBot демонстрирует изощренные методы сокрытия своей деятельности и затруднения анализа. Akamai отслеживал активность червя в течение года и зафиксировал атаки с 849 различных IP-адресов по всему миру, почти все устройства, скорее всего, уже заражены.

06a96gpy6kttjcgxfa6jntbsje0s6vu0

Компания опубликовала подробные индикаторы компрометации (Indicator of Compromise, IoC), которые можно использовать для проверки устройств на предмет заражения. Пока неясно, насколько широко червь распространился, но его нестандартные методы работы вызывают обеспокоенность исследователей.

Akamai отмечает, что ограничение произвольного доступа по SSH к сети значительно снижает риск заражения. Кроме того, использование надежных (нестандартных или случайно сгенерированных) паролей также повышает безопасность, поскольку вредоносное ПО использует базовый список угадываемых паролей. Специалисты разместили в репозитории GitHub наборы учетных данных, используемые NoaBot.

На первый взгляд, NoaBot — не очень сложная кампания. Это вариант Mirai и криптомайнер XMRig – подобного вредоносного ПО сейчас большое количество. Однако методы обфускации и дополнения к исходному коду рисуют совершенно иную картину возможностей злоумышленников.

Темы:КриптовалютыLinuxУгрозыMiraiAkamaiХакерские атаки
Безопасная разработка
Подходы и инструменты управления процессом разработки безопасного программного обеспечения
Регистрируйтесь и приходите! 13 февраля 2025
Статьи по темеСтатьи по теме

  • Куда российским компаниям мигрировать с Active Directory?
    Несмотря на то, что Active Directory является проверенным и широко используемым решением для управления идентификацией и доступом в Windows-средах, существует веская причина, по которой российские компании рассматривают переход на альтернативные каталоги. Эта причина – миграция с иностранных операционных систем, и как следствие – отказ от их экосистем и инфраструктур, построенных на их основе.
  • Решения Рутокен для аутентификации в российские ОC и информационные системы
    Андрей Шпаков, руководитель проектов по информационной безопасности в Компании "Актив"
    Устройства Рутокен являются передовыми аппаратными средствами пользовательской аутентификации на российском рынке. Совместно с другими средствами защиты они обеспечивают полный цикл MFA. Компания "Актив" создает не только аппаратные, но и программные решения, в частности, Рутокен Логон.
  • О безопасности заимствованных компонентов Open Source
    Алексей Хорошилов, руководитель Центра исследований безопасности системного программного обеспечения, ведущий научный сотрудник ФГБУН “ИСП РАН”
    Open Source стал неотъемлемой частью современного мира. Сегодня уже нет необходимости объяснять, что это такое, – с этим явлением все давно свыклись и приняли его как данность. Однако возникает другой вопрос: как эффективно и зрело работать с Open Source?
  • Пять мифов о безопасности российских операционных систем
    Роман Мылицын, руководитель отдела перспективных исследований “Группы Астра”
    Использование российских операционных систем на основе Linux для рабочих станций связано со множеством мифов, которые могут отпугивать пользователей и компании от внедрения. Разберем и развенчаем несколько самых распространенных заблуждений, касающихся информационной безопасности и корпоративного использования российских ОС на примере Astra Linux.
  • Secret Disk для Linux: прозрачное шифрование дисков на рабочих станциях
    Денис Суховей, руководитель департамента развития технологий компании Аладдин
    Secret Disk для Linux обеспечивает предотвращение утечек конфиденциальной информации с помощью шифрования на рабочих станциях с отечественными ОС семейства Linux.
  • Ideco NGFW VPP: новый высокопроизводительный подход к обработке трафика
    Дмитрий Хомутов, директор компании “Айдеко”
    К обычному Ideco NGFW. в 2023 г. добавилась высокоскоростная версия Ideco NGFW VPP. Рассмотрим, за счет чего удалось резко повысить производительность решения.

Участвуйте в проектах

редакции журнала
"Информационная безопасность" 

КАЛЕНДАРЬ МЕРОПРИЯТИЙ 2024
ПОСЕТИТЬ МЕРОПРИЯТИЯ
ВЫСТУПИТЬ НА КОНФЕРЕНЦИЯХ
СТАТЬ АВТОРОМ
ТБ Форум
Актуальные вопросы защиты информации
12 февраля 2025 | Организатор: ФСТЭК России

Еще темы...

More...