Capoae Malware
En ny malware-stam används i aktiva attackkampanjer för att leverera nyttolast för kryptomining till komprometterade system. Hotet fick namnet Capoae, och enligt resultaten är Capoae skrivet med Go-språket, som blir ett populärt val i cyberkriminella kretsar på grund av dess plattformsoberoende kapacitet.
Som första kompromissvektorer använder hotaktörerna brute-force-attacker igen system med svaga referenser, samtidigt som de utnyttjar flera kända sårbarheter. Mer specifikt förlitar Capoae sig på CVE-2020-14882, en felkod (RCE) i Oracle WebLogic Server, CVE-2018-20062, en annan RCE men den här gången i ThinkPHP. Hotet kan också vara att använda två RCE-sårbarheter i Jenkins som spåras som CVE-2019-1003029 och CVE-2019-1003030.
Hotande förmågor
Som sådan kan Capoae infektera WordPress -installationer och Linux -system. Den slutliga nyttolasten som levereras till de kränkta systemen är en XMRig -variant som kommer att kapa offrets resurser för att gruva efter Monero -mynt, en av de mer populära kryptokurvorna.Men vid sidan av gruvarbetaren distribueras också olika andra webbskal. De utökar de elaka handlingar som är tillgängliga för hotaktörerna. En, till exempel, har till uppgift att samla filer från infekterade system. En portskanner initieras sedan och letar efter öppna portar för att underlätta den fortsatta spridningen av Capoae -skadlig programvara.
För att säkerställa dess fortsatta närvaro är hotet utrustat med en ny uthållighetsmekanism. Först väljer Capoae en till synes legitim systemväg från en lista över potentiella platser. Sedan genererar det ett nytt filnamn bestående av sex slumpmässiga tecken och kopierar sig till den valda platsen. De gamla binärfilerna i skadlig programvara tas sedan bort. Det sista steget är att antingen injicera en ny eller uppdatera en befintlig Crontab -post som kör den nygenererade filen.
Typiska symptom på en Capoae -infektion inkluderar onormal användning av systemresurser, konstiga eller oväntade systemprocesser som körs i bakgrunden eller okända artefakter kvar på systemet, till exempel SSH -nycklar eller små filer.
