Устройства под Linux и Android массово заражают майнерами криптовалюты

Новая версия Gitpaste-12 использует более 30 уязвимостейдля распространения криминальных криптомайнеров на устройствах под Linux и Android, атакже атак на веб-приложения и чужие бэкдоры. Червь и MoneroНедавно выявленный ботнет Gitpaste-12, обладающийфункциями интернет-червя, снова активизировался и пополнил свой арсеналатакуемых уязвимостей. Основной его «добычей» служат устройства под управлениемAndroid и Linux. Ботнет также активнозаражает устройства интернета вещей.Червь Gitpaste-12 распространяетсячерез GitHub;его вредоносные компоненты хостятся на Pastebin. Первая его версия, обнаруженная в октябре 2020г., способна была эксплуатировать 12 известных уязвимостей.Вторая итерация, котораяэксплуатирует уже более 30 уязвимостей, была выявлена 10 ноября экспертамикомпании Juniper ThreatLabs.Изначально они нашли репозиторий в GitHub, содержавший лишь три файла — криптомайнер под Linux, список паролей длябрутфорса и интерпретатор неизвестного происхождения, написанный на Python 3.98.Червь-ботнет оснастили тремя десятками эксплойтовПозднее к ним добавилисьфайл настроек для криптомайнера Monero (config.json), а также эксплойт для повышения привилегий всреде Linux,запакованный UPX.Новая версия Gitpaste-12, попав на целевуюсистему, сразу же скачивает вредоносные компоненты, в том числе, криптомайнер ибэкдор, после чего начинает атаковать веб-приложения, соединения AndroidDebugBridge и устройства интернетавещей, включая роутеры и IP-камеры.Чужой бэкдор? ПодойдетЭксперты отметили, что новаяверсия червя знает как минимум 31 уязвимость, и только семь из них уженаблюдались в предыдущей версии. Интересной особенностью является также то, чтовредонос пытается эксплуатировать уже существующие бэкдоры, которые могли быть установленыдругими вредоносами.Червь пользуетсяуязвимостями в таких опенсорсных пакетах как JBossSeam 2, CutePHP, mongo-express, Pi-hole и FuelCMS; жертвами также может становиться коммерческийпакет vBulletinи некоторые другие.В Gitpaste-12 также встроен червь под Unix — X10-unix, который и атакует приложение Android Debug Bridge через порт 5555,пытаясь загрузить на устройства под Android вредоносный двоичный файл blu и пакетный файл APK. Этот файл, установившись, публикует на Pastebin IP-адрес зараженного устройстваи скачивает дополнительные вредоносные компоненты. К настоящему моментуизвестно о заражении минимум 100 различных хостов.«Прошивки IoT-устройств кишатуязвимостями, вдобавок баги в популярном опенсорсном и коммерческом ПО, в томчисле, веб-приложениях, могут оставаться неисправленными годами. Все это создаетвесьма благодатную почву в том числе и для червей, — отмечает Анастасия Мельникова, эксперт поинформационной безопасности компании SEC Consult Services. — Операторы криминальных криптомайнеров всегдазаинтересованы в том, чтобы заразить как можно большее количество оборудованиясвоими вредоносами с наименьшими усилиями. Появление чего-то подобного Gitpaste-12 — совершеннозакономерно и нельзя исключать, что его библиотека эксплойтов будет продолжатьрасти».