Windows

Stealthy Web server malware kumakalat sa karagdagang

Browser Extensions - The Backdoor To Stealth Malware

Browser Extensions - The Backdoor To Stealth Malware
Anonim

Ang isang payat na malisyosong software program ay tumatagal sa ilan sa mga pinaka-popular na mga web server, at ang mga mananaliksik ay hindi pa rin alam kung bakit.

Noong nakaraang linggo, natagpuan ng mga kompanya ng seguridad na si Eset at Sucuri ang mga server ng Apache na nahawaan ng Linux / Cdorked. Kung ang malware na iyon ay tumatakbo sa isang Web server, ang mga biktima ay nai-redirect sa isa pang website na sumusubok na ikompromiso ang kanilang computer.

Sinabi ni Eset noong Martes na natagpuan na ngayon ang mga bersyon ng Linux / Cdorked engineered para sa mga server ng Lighttpd at Nginx Web, parehong malawakan

[Karagdagang pagbabasa: Paano tanggalin ang malware mula sa iyong Windows PC]

Marc-Etienne M. Leveille ng Eset ay nagsulat na ang kumpanya ay nakahanap ng 400 mga server ng Web na nahawaan sa ngayon, kung saan 50 ang niranggo sa Web analytics kumpanya ng pinakamalakas na 100,000 website ng Alexa.

"Hindi pa rin namin alam ang tiyak kung paano ang nakahahamak na software na ito ay na-deploy sa mga web server," sumulat si Leveille. "Ang isang bagay ay malinaw, ang malware na ito ay hindi nagpapakalat sa pamamagitan ng kanyang sarili at hindi nito pinagsamantalahan ang isang kahinaan sa isang tiyak na software."

Linux / Cdorked ay aktibo mula noong hindi bababa sa Disyembre. Inirerendahan nito ang mga bisita sa isa pang naka-kompromiso na website na nagho-host ng Blackhole exploit kit, na isang nakakahamak na programa na sumusubok sa mga computer para sa mga kahinaan ng software.

Ang redirect ay nagsisilbi sa mga computer gamit ang Internet Explorer o Firefox sa Microsoft's XP, Vista o 7 operating system, Sumulat si Leveille. Ang mga tao na gumagamit ng isang iPad o iPhone ay hindi nakadirekta sa kit sa pagsasamantala kundi sa mga site ng pornograpiya.

Ang pattern ng mga pangalan ng domain kung saan ang mga tao ay na-redirect ay nagpapahiwatig na ang mga attacker ay naka-kompromiso rin sa ilang mga DNS (Domain Name System) server, isinulat ni Leveille.

Ang malware ay hindi rin maglilingkod sa pag-atake kung ang isang tao ay nasa ilang mga saklaw ng IP o kung "ang wika ng internet browser ng biktima ay naka-set sa Hapon, Finnish, Ruso at Ukrainian, Kazakh o Belarusian," isinulat ni Leveille

"Naniniwala kami na ang mga operator sa likod ng kampanyang ito ng malware ay gumagawa ng mga makabuluhang pagsisikap upang mapanatili ang kanilang operasyon sa ilalim ng radar at upang hadlangan ang pagsisikap ng pagsubaybay hangga't maaari," sumulat si Leveille. "Para sa kanila, ang hindi napansin ay tila isang prayoridad sa paglaganap ng maraming mga biktima hangga't maaari."

Linux / Cdorked ay pailalim ngunit hindi imposible na makita. Ang mga command na ipinadala ng mga attackers sa Linux / Cdorked ay hindi naka-log in sa normal na mga log ng Apache, at ang pag-redirect-na nagpapadala ng mga tao sa isang nakakahamak na website- Ay tumatakbo lamang sa memorya at hindi sa hard drive, isinulat ni Eset noong nakaraang linggo.