Перейти к содержанию


Авторизация  
ELIJAH

Новый Linux-троян использует Dogecoin API для поиска своих C&C-серверов

В теме 1 сообщение

Киберпреступная группировка Ngrok использует троян Doki в криптомайнинговых операциях.

Времена, когда вредоносного ПО для Linux практически не существовало, давно канули в Лету. В настоящее время сообщения об угрозах для Linux появляются почти каждую неделю. К примеру, недавно специалисты ИБ-компании Intezer Labs представили подробный анализ нового трояна Doki, которым обзавелась хорошо известная киберпреступная группировка Ngrok, специализирующаяся на майнинге криптовалюты.

Группировка, активная с 2018 года, получила свое название из-за первоначального использования сервиса Ngrok для хостинга своих C&C-серверов. Однако, по данным Intezer Labs, в нынешнем году она изменила тактику и теперь атакует установки Docker, где хранятся незащищенные API.

В изученных исследователями атаках с помощью Docker API киберпреступники развертывали новые серверы внутри облачной инфраструктуры атакуемой компании. Эти серверы работали на Alpine Linux и были заражены вредоносным ПО для майнинга криптовалюты и трояном Doki.

Doki предоставляет атакующим контроль над вновь развернутыми серверами Alpine Linux и тем самым позволяет им следить, чтобы операция по добыче криптовалюты проходила как положено. Хотя в таком функционале нет ничего необычного, по словам исследователей, Doki все же сильно отличается от других подобных троянов.

В частности, исследователей заинтересовало, как Doki определяет URL-адрес C&C-сервера, к которому нужно подключиться для получения инструкций. В отличие от других подобных троянов, подключающихся к вшитым в исходный код IP- или URL-адресам, Doki использует динамический алгоритм DGA (domain generation algorithm). DGA позволяет трояну определять адрес C&C-сервера с помощью Dogecoin API. То есть, операторы трояна могут менять сервер, с которого он получает команды, осуществив всего одну транзакцию из подконтрольного им Dogecoin-кошелька.

Если DynDNS (ddns.net) получает отчет о злоупотреблении текущим URL-адресом C&C-сервера Doki и отключает его, операторам Ngrok достаточно лишь осуществить новую транзакцию, определить значение поддомена, настроить новую учетную запись DynDNS и получить поддомен.

Этот механизм является эффективным способом защиты от отключения бэкэнд-инфраструктуры Doki правоохранительными органами. Для того чтобы это сделать, правоохранителям необходимо захватить контроль над принадлежащим Ngrok кошельком Dogecoin, а это невозможно без криптографического ключа.

Поделиться сообщением


Ссылка на сообщение

Для публикации сообщений создайте учётную запись или авторизуйтесь

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!

Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.

Войти
Авторизация  

×