Muhstik Malware: botnet dobrze wykorzystujący wady
Table of Contents
Co to jest złośliwe oprogramowanie Muhstik?
Szkodliwe oprogramowanie Muhstik to rodzaj złośliwego oprogramowania, rozpoznawanego przede wszystkim ze względu na możliwość atakowania urządzeń Internetu rzeczy (IoT) i serwerów opartych na systemie Linux. Muhstik, którego po raz pierwszy udokumentowano w 2018 r., zyskał sławę dzięki wykorzystywaniu luk w zabezpieczeniach w celu infiltracji systemów. Nazwa szkodliwego oprogramowania wzięła się od jego zwyczaju podszywania się pod legalne procesy systemowe, aby uniknąć wykrycia. Zaobserwowano to w różnych kampaniach ataków, w których wykorzystywano znane luki w zabezpieczeniach aplikacji internetowych do rozprzestrzeniania się i infekowania nowych hostów.
Co robi złośliwe oprogramowanie Muhstik?
Szkodliwe oprogramowanie Muhstik charakteryzuje się wielostronnością w swoich szkodliwych działaniach. Jego podstawowe funkcje obejmują wydobywanie kryptowalut i przeprowadzanie ataków typu Distributed Denial of Service (DDoS). Po infiltracji systemu Muhstik wydobywa kryptowaluty, przejmując moc obliczeniową urządzenia, co może znacznie spowolnić system i zwiększyć zużycie energii elektrycznej. Ponadto może zalewać wybrane serwery ruchem, przytłaczając je i powodując zakłócenia w świadczeniu usług. Ta podwójna funkcjonalność sprawia, że Muhstik jest wszechstronnym i niebezpiecznym zagrożeniem dla zainfekowanych systemów.
Jak rozprzestrzenia się złośliwe oprogramowanie Muhstik
Rozprzestrzenianie się szkodliwego oprogramowania Muhstik opiera się w dużej mierze na wykorzystaniu znanych luk w zabezpieczeniach. Godnym uwagi przykładem jest wykorzystanie CVE-2023-33246, krytycznej luki w Apache RocketMQ z wynikiem CVSS wynoszącym 9,8. Luka ta umożliwia zdalnym i nieuwierzytelnionym atakującym wykonanie dowolnego kodu poprzez manipulację zawartością protokołu RocketMQ lub użycie funkcji konfiguracji aktualizacji. Gdy osoba atakująca uzyska wstępny dostęp, wykonuje skrypt powłoki ze zdalnego serwera, który następnie pobiera plik binarny Muhstik („pty3”). Szkodnik zapewnia trwałość, kopiując się do wielu katalogów i modyfikując plik /etc/inittab tak, aby automatycznie uruchamiał się ponownie po uruchomieniu systemu.
Czego chce złośliwe oprogramowanie Muhstik
Głównym celem szkodliwego oprogramowania Muhstik jest dokooptowanie zainfekowanych urządzeń do botnetu. Ten botnet można następnie wykorzystać do różnych niegodziwych celów, takich jak wydobywanie kryptowalut i ataki DDoS. Przejmując zasoby obliczeniowe wielu urządzeń, Muhstik może generować znaczne przychody poprzez wydobywanie kryptowalut. Ponadto botnet może przeprowadzać potężne ataki DDoS, które mogą zakłócać usługi online, powodować szkody finansowe i być wykorzystywane jako środek wymuszenia.
Co atakuje złośliwe oprogramowanie Muhstik?
Muhstik jest przeznaczony dla szerokiej gamy urządzeń, ze szczególnym naciskiem na urządzenia IoT i serwery oparte na systemie Linux. Cele te są często wybierane ze względu na ich dużą podatność na ataki i powszechne użycie. Szkodnik wykorzystuje luki w zabezpieczeniach aplikacji i usług internetowych w celu uzyskania początkowego dostępu. Na przykład Apache RocketMQ stał się ostatnio celem ze względu na krytyczną lukę w zabezpieczeniach. Zdolność Muhstika do gromadzenia metadanych systemowych i bocznego przesyłania przez bezpieczną powłokę (SSH) jeszcze bardziej zwiększa jego zasięg w zainfekowanych sieciach.
Środki zapobiegawcze
Zapobieganie infekcjom złośliwym oprogramowaniem Muhstik wymaga proaktywnego podejścia do cyberbezpieczeństwa. Oto kilka kluczowych środków:
- Regularne aktualizacje : upewnij się, że całe oprogramowanie, zwłaszcza aplikacje internetowe i oprogramowanie serwerowe, takie jak Apache RocketMQ, jest aktualizowane do najnowszych wersji. Aby zapobiec wykorzystaniu luk, należy niezwłocznie zastosować poprawki znanych luk.
- Segmentacja sieci : segmentacja sieci może ograniczyć rozprzestrzenianie się złośliwego oprogramowania w organizacji. Izolując krytyczne systemy, zmniejszasz ryzyko bocznego ruchu złośliwych aktorów.
- Silne uwierzytelnianie : wdrażaj mechanizmy silnego uwierzytelniania, takie jak uwierzytelnianie wieloskładnikowe (MFA), aby chronić dostęp do wrażliwych systemów. Zmniejsza to ryzyko nieautoryzowanego dostępu poprzez naruszone dane uwierzytelniające.
- Monitoruj i audytuj : regularnie monitoruj systemy pod kątem nietypowych działań i dzienników audytu pod kątem oznak naruszenia bezpieczeństwa. Wczesne wykrycie może pomóc złagodzić skutki infekcji.
- Oprogramowanie zabezpieczające : korzystaj z kompleksowych rozwiązań zabezpieczających, które obejmują wykrywanie złośliwego oprogramowania, systemy wykrywania włamań (IDS) i zapory ogniowe. Narzędzia te mogą zapewnić dodatkową warstwę ochrony przed złośliwym oprogramowaniem, takim jak Muhstik.
- Edukacja użytkowników : Informuj użytkowników o zagrożeniach związanych ze złośliwym oprogramowaniem i konieczności stosowania najlepszych praktyk bezpieczeństwa. Często stosowanymi technikami w celu uzyskania pierwszego dostępu są phishing i socjotechnika.
Rozumiejąc złośliwe oprogramowanie Muhstik i wdrażając te środki zapobiegawcze, organizacje mogą znacznie zmniejszyć ryzyko infekcji i chronić swoje systemy przed tym wszechstronnym i trwałym zagrożeniem.
