Malware HeadCrab

Nový, vysoce tajný malware nazvaný HeadCrab infikuje servery Redis online a vytváří botnet pro těžbu kryptoměny Monero. Malware HeadCrabe byl úspěšný v kompromitaci více než 1 200 serverů Redis, které používá k vyhledávání dalších cílů. Sofistikovaní aktéři hrozeb za HeadCrab vyvinuli malware na míru, který je vysoce pokročilý a tradiční antimalwarová řešení nebo systémy bez agentů jej snadno odhalují. Podrobnosti o malwaru HeadCrab a hrozivých operacích byly zveřejněny ve zprávě výzkumníků infosec.

Vektor infekce využívaný malwarem HeadCrab

Útočníci za tímto botnetem využívají zranitelnost na serverech Redis, která je navržena pro interní použití v rámci sítě organizace a ve výchozím nastavení postrádá autentizaci. Pokud se správcům nepodaří řádně zabezpečit své servery a zpřístupnit je z internetu, ať už náhodně nebo úmyslně, mohou útočníci snadno získat kontrolu pomocí ohrožujících nástrojů nebo malwaru. Jakmile útočníci získají přístup k těmto neověřeným serverům, vydají příkaz „SLAVEOF“ k synchronizaci serveru s hlavním serverem pod jejich kontrolou, což jim umožní nasadit malware HeadCrab na nově unesený systém.

Škodlivé schopnosti malwaru HeadCrab

Po instalaci a aktivaci poskytuje HeadCrab útočníkům celou řadu schopností nezbytných k převzetí cílového serveru a jeho začlenění do jejich botnetu pro těžbu kryptoměn. Funguje v paměti napadených zařízení, aby se vyhnul skenování proti malwaru. Malware HeadCrab eliminuje všechny protokoly a komunikuje pouze s ostatními servery ovládanými jeho operátory, aby unikl detekci.

Útočníci komunikují s autentickými IP adresami, především se svými dalšími kontaminovanými servery, aby se vyhnuli detekci a minimalizovali riziko zablokování bezpečnostními řešeními. Kromě toho je malware HeadCrab většinou založen na procesech Redis. Tyto procesy pravděpodobně nebudou považovány za ohrožující nebo podezřelé. Užitná zatížení se načítají prostřednictvím 'memfd', souborů pouze pro paměť, zatímco moduly jádra se načítají přímo z paměti, aby se zabránilo zápisu na disk.

Analýza adresy kryptopeněženky Monero spojené s kampaní HeadCrab Malware odhalila, že útočníci dosahují přibližného ročního zisku 4 500 dolarů na pracovníka. Pokud jsou odhady správné, ukazuje to drastický nárůst oproti typickým 200 USD na pracovníka pozorovaným u jiných typů operací.