Phần mềm độc hại HeadCrab

Một phần mềm độc hại mới, có khả năng tàng hình cao được gọi là HeadCrab đã lây nhiễm các máy chủ Redis trực tuyến và xây dựng một mạng botnet để khai thác tiền điện tử Monero. Phần mềm độc hại HeadCrabe đã thành công trong việc xâm phạm hơn 1.200 máy chủ Redis mà nó sử dụng để tìm kiếm nhiều mục tiêu hơn. Các tác nhân đe dọa tinh vi đằng sau HeadCrab đã phát triển phần mềm độc hại tùy chỉnh rất tiên tiến và không dễ bị phát hiện bởi các giải pháp chống phần mềm độc hại truyền thống hoặc hệ thống không có tác nhân. Chi tiết về phần mềm độc hại HeadCrab và các hoạt động đe dọa đã được công bố trong một báo cáo của các nhà nghiên cứu của infosec.

Vector lây nhiễm được khai thác bởi phần mềm độc hại HeadCrab

Những kẻ tấn công đằng sau botnet này khai thác lỗ hổng trong máy chủ Redis, được thiết kế để sử dụng nội bộ trong mạng của tổ chức và thiếu xác thực theo mặc định. Nếu quản trị viên không bảo mật đúng cách máy chủ của họ và khiến chúng có thể truy cập được từ Internet, dù vô tình hay cố ý, thì những kẻ tấn công có thể dễ dàng giành quyền kiểm soát bằng cách sử dụng các công cụ đe dọa hoặc phần mềm độc hại. Sau khi có quyền truy cập vào các máy chủ chưa được xác thực này, những kẻ tấn công sẽ đưa ra lệnh "SLAVEOF" để đồng bộ hóa máy chủ với máy chủ chính dưới sự kiểm soát của chúng, cho phép chúng triển khai phần mềm độc hại HeadCrab lên hệ thống mới bị tấn công.

Khả năng gây hại của phần mềm độc hại HeadCrab

Sau khi được cài đặt và kích hoạt, HeadCrab cung cấp cho những kẻ tấn công đầy đủ các khả năng cần thiết để chiếm lấy máy chủ được nhắm mục tiêu và kết hợp nó vào mạng botnet khai thác tiền điện tử của chúng. Nó hoạt động trong bộ nhớ của các thiết bị bị xâm nhập để tránh các lần quét chống phần mềm độc hại. Phần mềm độc hại HeadCrab loại bỏ tất cả nhật ký và chỉ giao tiếp với các máy chủ khác do người điều hành nó kiểm soát để tránh bị phát hiện.

Những kẻ tấn công giao tiếp với các địa chỉ IP xác thực, chủ yếu là các máy chủ bị nhiễm độc khác của chúng, để tránh bị phát hiện và giảm thiểu nguy cơ bị chặn bởi các giải pháp bảo mật. Ngoài ra, Phần mềm độc hại HeadCrab chủ yếu dựa trên các quy trình Redis. Các quy trình này không có khả năng bị coi là đe dọa hoặc đáng ngờ. Tải trọng được tải thông qua 'memfd', các tệp chỉ dành cho bộ nhớ, trong khi các mô-đun hạt nhân được tải trực tiếp từ bộ nhớ như một cách để tránh ghi đĩa.

Phân tích địa chỉ ví tiền điện tử Monero được liên kết với chiến dịch Phần mềm độc hại HeadCrab đã tiết lộ rằng những kẻ tấn công đang kiếm được lợi nhuận hàng năm xấp xỉ 4.500 đô la cho mỗi công nhân. Nếu các ước tính là chính xác, nó cho thấy mức tăng mạnh so với mức 200 đô la điển hình cho mỗi công nhân được quan sát thấy ở các loại hoạt động khác trong số này.