Spinning YARN – Uusi Linux-haittaohjelmakampanja kohdistuu Dockeriin, Apache Hadoopiin, Redisiin ja Confluenceen<\/p>\n\n\n\n
Cado Security Labsin tutkijat ovat \u00e4skett\u00e4in kohdanneet nousevan haittaohjelmakampanjan, joka kohdistuu v\u00e4\u00e4rin konfiguroituihin palvelimiin, joissa py\u00f6rii seuraavia web-palveluja: Apache Hadoop, YARN, Docker, Confluence ja Redis. Kampanja hy\u00f6dynt\u00e4\u00e4 useita ainutlaatuisia ja raportoimattomia kuormia, mukaan lukien nelj\u00e4 Golang-binaaria, jotka toimivat ty\u00f6kaluina is\u00e4ntien l\u00f6yt\u00e4miseen ja tartuttamiseen, joissa py\u00f6rii edell\u00e4 mainitut palvelut. Hy\u00f6kk\u00e4\u00e4j\u00e4t k\u00e4ytt\u00e4v\u00e4t n\u00e4it\u00e4 ty\u00f6kaluja hyv\u00e4kseen l\u00e4hett\u00e4\u00e4kseen hyv\u00e4ksik\u00e4ytt\u00f6koodia, hy\u00f6dynt\u00e4en yleisi\u00e4 v\u00e4\u00e4rinkonfigurointeja ja hy\u00f6dynt\u00e4en n-p\u00e4iv\u00e4n haavoittuvuutta, suorittaakseen et\u00e4koodin suorittamisen (RCE) hy\u00f6kk\u00e4yksi\u00e4 ja tartuttaakseen uusia is\u00e4nti\u00e4.<\/p>\n\n\n\n
Kun alkuper\u00e4inen p\u00e4\u00e4sy on saavutettu, k\u00e4ytet\u00e4\u00e4n joukkoa komentosarjoja ja yleisi\u00e4 Linux-hy\u00f6kk\u00e4ystekniikoita toimittamaan kryptovaluutan louhija, k\u00e4ynnist\u00e4m\u00e4\u00e4n k\u00e4\u00e4nteinen kuori ja mahdollistamaan pysyv\u00e4 p\u00e4\u00e4sy kompromissoiduille is\u00e4nnille.<\/p>\n\n\n\n
Cado Security Labs researchers have recently encountered an emerging malware campaign targeting misconfigured servers running the following web-facing services: Apache Hadoop, YARN, Docker, Confluence and Redis. The campaign utilises a number of unique and unreported payloads, including four Golang binaries, that serve as tools to automate the discovery and infection of hosts running the above services. The attackers leverage these tools to issue exploit code, taking advantage of common misconfigurations and exploiting an n-day vulnerability, to conduct Remote Code Execution (RCE) attacks and infect new hosts. Once initial access is achieved, a series of shell scripts and general Linux attack techniques are used to deliver a cryptocurrency miner, spawn a reverse shell and enable persistent access to the compromised hosts<\/p>\n\n\n\n