Muhstik: армия зомби-серверов готова к новой DDoS-атаке
NewsMakerОбновите свои экземпляры Apache RocketMQ, чтобы избежать компрометации.
Известный ботнет Muhstik начал активно эксплуатировать исправленную в прошлом году уязвимость в Apache RocketMQ для захвата уязвимых серверов и увеличения масштабов своих DDoS -атак.
По информации компании Aqua Security , специализирующейся на облачной безопасности, Muhstik стал одной из главных угроз для IoT -устройств и серверов на базе Linux , заражая их для последующего майнинга криптовалют и проведения распределённых атак отказа в обслуживании (DDoS).
Впервые документированные атаки с использованием этого вредоносного ПО были зафиксированы в 2018 году. Muhstik активно использует известные уязвимости в веб-приложениях для своего распространения. Наиболее значимой из них стала уязвимость CVE-2023-33246 с критическим уровнем угрозы (CVSS 9.8), которая позволяет удалённым атакующим выполнять произвольный код, подделывая контент протокола RocketMQ или используя функцию обновления конфигурации.
Злоумышленники используют эту уязвимость для получения начального доступа к системе, после чего запускают скрипт с удалённого IP-адреса. Этот скрипт загружает основной вредоносный файл Muhstik («pty3») с другого сервера. Вредоносный код затем копируется в несколько директорий и изменяет файл «/etc/inittab», чтобы обеспечивать автоматический запуск при перезагрузке сервера.
Для маскировки вредоносный файл получает имя «pty3», что помогает ему скрываться под видом законного псевдотерминала. Также файл копируется в директории «/dev/shm», «/var/tmp», «/run/lock» и «/run», что позволяет ему выполняться прямо из памяти и избегать обнаружения.
Muhstik способен собирать системные метаданные, перемещаться на другие устройства через SSH и устанавливать связь с C2 -доменом через IRC-протокол для получения дальнейших инструкций. Основная цель вредоносного ПО — использовать заражённые устройства для проведения различных DDoS-атак, перегружая сети жертв.
Несмотря на публичное раскрытие уязвимости CVE-2023-33246 более года назад, в Интернете до сих пор остаётся более 5200 уязвимых экземпляров Apache RocketMQ. Организациям необходимо обновить ПО до последней версии, чтобы минимизировать риски.
Согласно данным AhnLab Security Intelligence Center (ASEC), уязвимые MS-SQL серверы также активно атакуются различными типами вредоносного ПО, включая программы-вымогатели и трояны для удаленного доступа. Эксперты рекомендуют администраторам использовать сложные пароли и регулярно их менять, а также своевременно устанавливать обновления безопасности.
Известный ботнет Muhstik начал активно эксплуатировать исправленную в прошлом году уязвимость в Apache RocketMQ для захвата уязвимых серверов и увеличения масштабов своих DDoS -атак.
По информации компании Aqua Security , специализирующейся на облачной безопасности, Muhstik стал одной из главных угроз для IoT -устройств и серверов на базе Linux , заражая их для последующего майнинга криптовалют и проведения распределённых атак отказа в обслуживании (DDoS).
Впервые документированные атаки с использованием этого вредоносного ПО были зафиксированы в 2018 году. Muhstik активно использует известные уязвимости в веб-приложениях для своего распространения. Наиболее значимой из них стала уязвимость CVE-2023-33246 с критическим уровнем угрозы (CVSS 9.8), которая позволяет удалённым атакующим выполнять произвольный код, подделывая контент протокола RocketMQ или используя функцию обновления конфигурации.
Злоумышленники используют эту уязвимость для получения начального доступа к системе, после чего запускают скрипт с удалённого IP-адреса. Этот скрипт загружает основной вредоносный файл Muhstik («pty3») с другого сервера. Вредоносный код затем копируется в несколько директорий и изменяет файл «/etc/inittab», чтобы обеспечивать автоматический запуск при перезагрузке сервера.
Для маскировки вредоносный файл получает имя «pty3», что помогает ему скрываться под видом законного псевдотерминала. Также файл копируется в директории «/dev/shm», «/var/tmp», «/run/lock» и «/run», что позволяет ему выполняться прямо из памяти и избегать обнаружения.
Muhstik способен собирать системные метаданные, перемещаться на другие устройства через SSH и устанавливать связь с C2 -доменом через IRC-протокол для получения дальнейших инструкций. Основная цель вредоносного ПО — использовать заражённые устройства для проведения различных DDoS-атак, перегружая сети жертв.
Несмотря на публичное раскрытие уязвимости CVE-2023-33246 более года назад, в Интернете до сих пор остаётся более 5200 уязвимых экземпляров Apache RocketMQ. Организациям необходимо обновить ПО до последней версии, чтобы минимизировать риски.
Согласно данным AhnLab Security Intelligence Center (ASEC), уязвимые MS-SQL серверы также активно атакуются различными типами вредоносного ПО, включая программы-вымогатели и трояны для удаленного доступа. Эксперты рекомендуют администраторам использовать сложные пароли и регулярно их менять, а также своевременно устанавливать обновления безопасности.