Muhstik-malware: het botnet maakt goed gebruik van tekortkomingen

Wat is Muhstik-malware?

Muhstik-malware is een soort kwaadaardige software die vooral bekend staat om zijn vermogen om zich te richten op Internet of Things (IoT)-apparaten en op Linux gebaseerde servers. Muhstik werd voor het eerst gedocumenteerd in 2018 en is berucht geworden vanwege het misbruiken van beveiligingskwetsbaarheden om systemen te infiltreren. De malware is vernoemd naar zijn gewoonte om zich voor te doen als legitieme systeemprocessen om detectie te voorkomen. Het is waargenomen in verschillende aanvalscampagnes, waarbij gebruik wordt gemaakt van bekende beveiligingsfouten in webapplicaties om nieuwe hosts te verspreiden en te infecteren.

Wat doet Muhstik-malware?

Muhstik-malware kent vele kwaadaardige activiteiten. De primaire functies zijn onder meer cryptocurrency-mining en het lanceren van Distributed Denial of Service (DDoS)-aanvallen. Zodra het een systeem infiltreert, mineert Muhstik cryptocurrencies door de verwerkingskracht van het apparaat te kapen, wat het systeem aanzienlijk kan vertragen en het elektriciteitsverbruik kan verhogen. Bovendien kan het gerichte servers overspoelen met verkeer, waardoor deze worden overweldigd en serviceonderbrekingen worden veroorzaakt. Deze dubbele functionaliteit maakt Muhstik tot een veelzijdige en gevaarlijke bedreiging voor geïnfecteerde systemen.

Hoe Muhstik-malware zich verspreidt

De verspreiding van Muhstik-malware is sterk afhankelijk van het misbruiken van bekende beveiligingsproblemen. Een opmerkelijk voorbeeld is de exploitatie van CVE-2023-33246, een kritieke fout in Apache RocketMQ met een CVSS-score van 9,8. Door dit beveiligingslek kunnen externe en niet-geverifieerde aanvallers willekeurige code uitvoeren door de inhoud van het RocketMQ-protocol te manipuleren of de updateconfiguratiefunctie te gebruiken. Zodra de aanvaller de eerste toegang heeft verkregen, voert hij een shellscript uit vanaf een externe server, die vervolgens het binaire Muhstik-bestand ("pty3") downloadt. De malware zorgt voor persistentie door zichzelf naar meerdere mappen te kopiëren en het bestand /etc/inittab aan te passen zodat het automatisch opnieuw opstart bij het opstarten van het systeem.

Wat Muhstik-malware wil

Het primaire doel van Muhstik-malware is het coöpteren van geïnfecteerde apparaten in een botnet. Dit botnet kan vervolgens voor verschillende snode doeleinden worden gebruikt, zoals cryptocurrency-mining en DDoS-aanvallen. Door de computerbronnen van talloze apparaten in beslag te nemen, kan Muhstik aanzienlijke inkomsten genereren via cryptocurrency-mining. Bovendien kan het botnet krachtige DDoS-aanvallen lanceren, die de online dienstverlening kunnen verstoren, financiële schade kunnen aanrichten en als afpersingsmiddel kunnen worden gebruikt.

Wat valt Muhstik Malware aan?

Muhstik richt zich op een breed scala aan apparaten, met een bijzondere focus op IoT-apparaten en Linux-gebaseerde servers. Deze doelen worden vaak gekozen vanwege hun hoge kwetsbaarheid en wijdverbreid gebruik. De malware maakt gebruik van beveiligingsfouten in webapplicaties en -diensten om initiële toegang te verkrijgen. Apache RocketMQ is bijvoorbeeld recentelijk een doelwit geweest vanwege het kritieke beveiligingsprobleem. Muhstik's vermogen om metagegevens van het systeem te verzamelen en zich lateraal over een beveiligde shell (SSH) te verplaatsen, vergroot zijn bereik binnen geïnfecteerde netwerken verder.

Preventiemaatregelen

Het voorkomen van Muhstik-malware-infecties vereist een proactieve benadering van cyberbeveiliging. Hier zijn enkele belangrijke maatregelen:

1. Regelmatige updates : Zorg ervoor dat alle software, vooral webapplicaties en serversoftware zoals Apache RocketMQ, wordt bijgewerkt naar de nieuwste versies. Patches voor bekende kwetsbaarheden moeten onmiddellijk worden toegepast om misbruik te voorkomen.
2. Netwerksegmentatie : het segmenteren van netwerken kan de verspreiding van malware binnen een organisatie beperken. Door kritieke systemen te isoleren, verkleint u het risico op zijdelingse bewegingen door kwaadwillende actoren.
3. Sterke authenticatie : Implementeer sterke authenticatiemechanismen, zoals multi-factor authenticatie (MFA), om de toegang tot gevoelige systemen te beschermen. Dit vermindert het risico op ongeautoriseerde toegang via gecompromitteerde inloggegevens.
4. Monitoren en auditen : controleer systemen regelmatig op ongebruikelijke activiteiten en auditlogboeken op tekenen van compromittering. Vroegtijdige detectie kan de impact van een infectie helpen verzachten.
5. Beveiligingssoftware : gebruik uitgebreide beveiligingsoplossingen, waaronder malwaredetectie, inbraakdetectiesystemen (IDS) en firewalls. Deze tools kunnen een extra verdedigingslaag bieden tegen malware zoals Muhstik.
6. Gebruikerseducatie : Informeer gebruikers over de gevaren van malware en de noodzaak om zich te houden aan best practices op het gebied van beveiliging. Phishing en social engineering zijn veelgebruikte technieken om initiële toegang te verkrijgen.

Door de Muhstik-malware te begrijpen en deze preventieve maatregelen te implementeren, kunnen organisaties het risico op infectie aanzienlijk verminderen en hun systemen beschermen tegen deze veelzijdige en aanhoudende dreiging.