CronRAT
Vědci z nizozemské společnosti zabývající se kybernetickou bezpečností identifikovali sofistikovanou malwarovou hrozbu, která využívá inovativní techniky k maskování svých nekalých činů. Hrozba nese název CronRAT a je klasifikována jako RAT - Remote Access Trojan. Zaměřuje se na internetové obchody a poskytuje útočníkům prostředky, jak do napadených linuxových serverů vložit skimmery online plateb. V konečném důsledku je cílem hackerů získat údaje o kreditních kartách, které lze později zneužít. Díky četným únikovým technikám používaných hrozbou je téměř nezjistitelná.
Technické údaje
Charakteristickým rysem CronRAT je způsob, jakým zneužívá linuxový systém plánování úloh (cron) ke skrytí sofistikovaného programu Bash. Malware vkládá do crontab několik úloh, které mají platný formát, takže je systém přijímá. Tyto úlohy budou mít za následek chybu při spuštění, ale to se nestane, protože je naplánováno spuštění v neexistující data, jako je 31. února. Poškozený kód hrozby je skryt v názvech těchto naplánovaných úloh.
Po odstranění několika úrovní zmatku byli výzkumníci společnosti Infosec schopni odhalit příkazy pro sebezničení, úpravy časování a vlastní protokol pro komunikaci s útočníkovým serverem Command-and-Control (C2, C&C). Kontaktu se vzdáleným serverem je dosaženo prostřednictvím obskurní funkce linuxového jádra, která umožňuje komunikaci TCP prostřednictvím souboru. Kromě toho je připojení přenášeno přes TCP přes port 443, který se vydává za službu Dropbear SSH. V konečném důsledku budou útočníci schopni provádět libovolné příkazy na narušených systémech.
Závěr
CronRAT je považován za závažnou hrozbu pro linuxové eCommerce servery kvůli svým ohrožujícím schopnostem. Hrozba má techniky detekce-vyhýbání se, jako je spouštění bez souborů, modulace časování, použití binárního, zmateného protokolu, použití legitimních názvů naplánovaných úloh CRON ke skrytí užitečného zatížení a další. V praxi je to prakticky nezjistitelné a může být nutné zavést speciální opatření k ochraně jejich cílených linuxových serverů.
