Symchanger-malware
Symchanger Malware is een tool voor massale compromissen die gratis aan bedreigingsactoren wordt aangeboden. Het werd gepromoot via een Facebook-groep die ook een instructievideo bevatte over het gebruik van de dreiging. Natuurlijk is er, zoals meestal het geval is, een addertje onder het gras: Symchanger heeft in zijn code een achterdeurfunctionaliteit. Waarom kan de ene bedreigingsacteur immers niet de inspanningen van andere cybercriminelen uitbuiten?
In wezen is Symchanger Malware een PHP-code die hoogstwaarschijnlijk is overgenomen van bestaande malwarebedreigingen. De enige zinvolle wijziging is de opname van de achterdeur. De malware maakt tijdens de uitvoering gebruik van verschillende lagen van verduistering en codecontroles om de ware aard ervan te verbergen. De activiteit van Symchanger begint met het zoeken naar populaire namen van configuratiebestanden, zoals WordPress, Joomla, Drupal en WHMCS. Wanneer een geschikt bestand wordt ontdekt, maakt de dreiging een symlink naar een '.txt'-bestand. Symchanger zal proberen toegang te krijgen tot / etc / passwd, en als dit lukt, zal het de inhoud extraheren voor een lijst van alle bestaande gebruikers op de specifieke webserver. Vervolgens voert het een foreach- lus uit om de inloggegevens van elke gebruiker te verzamelen. Ten slotte zal Symchanger een bedreigende admin-gebruiker in elke individuele database injecteren waarmee het een verbinding heeft gemaakt.
Voor de gemiddelde bedreigingsacteur eindigt de bedreigende functionaliteit van Symchanger met de mogelijkheid tot kruisbesmetting. Verborgen in de onderliggende code van de dreiging is echter een afzonderlijke mogelijkheid: de malwarebedreiging stuurt vijf e-mailberichten naar meerdere e-mailadressen via de reeds gecompromitteerde webserver. De makers van Symchanger zullen verschillende gevoelige gegevens ontvangen - gestolen inloggegevens, directoryvermeldingen en de URL naar het specifieke symchanger.php-bestand dat is uitgevoerd, zodat ze onbevoegde toegang kunnen krijgen tot de websites die zijn aangetast door de malwaretool.
