Jako nejběžnější cloudový operační systém tvoří Linux klíčovou součást digitální infrastruktury a pro útočníky se rychle stává vstupní branou do multicloudového prostředí. Současná opatření proti malwaru se většinou zaměřují na řešení hrozeb namířených na systém Windows, takže mnoho veřejných a privátních cloudových implementací zůstává zranitelných hlavně vůči útokům, které cílí na systémy založené na Linuxu.
Společnost VMware zveřejnila studii o počítačových hrozbách s názvem „Odhalování malwaru v linuxových multicloudových prostředích“.(1) Studie podrobně popisuje, jak kybernetičtí útočníci užívají malware k napadání linuxových operačních systémů. Mezi hlavní zjištění patří:
„Kyberzločinci výrazně rozšiřují svůj záběr a do svého arzenálu přidávají malware zacílený na operační systémy založené na Linuxu, aby maximalizovali efekt s co nejmenším úsilím,“ říká Giovanni Vigna, ředitel pro analýzu hrozeb ve společnosti VMware. „Kybernetičtí zločinci zjistili, že namísto infikování koncového bodu a postupu k cílům s vyšší hodnotou, může být podstatně výhodnější napadnout jediný server a získat tak přístup, o který usilují. Útočníci považují veřejné i privátní cloudy za vysoce hodnotné cíle kvůli tomu, že poskytují přístup ke službám kritické infrastruktury a důvěrným datům. Dnešní opatření proti malwaru se však většinou zaměřují na obranu systémů Windows, takže mnoho veřejných a privátních cloudových implementací zůstává zranitelných vůči útokům na linuxové operační systémy.“
Vzhledem k tomu, že narůstá množství i důmyslnost malwaru zaměřeného na operační systémy založené na Linuxu, musí podniky klást větší důraz na detekci hrozeb. Analytická jednotka TAU společnosti VMware ve své studii analyzovala hrozby, s nimiž se lze setkat u operačních systémů založených na Linuxu v multicloudových prostředích: ransomware, nástroje pro těžbu kryptoměn a nástroje pro vzdálený přístup.
Ransomware cílí na cloud, aby způsobil maximální škody
Ransomware patří k hlavním příčinám narušení systémů a pro podniky a organizace může mít úspěšný útok na cloudové prostředí katastrofické následky.(2) Ransomwarové útoky proti cloudovým implementacím bývají cílené a mnohdy jsou spojené s vyvedením dat, čímž útočníci získávají možnost dvojitého vydírání, a tedy vyšší šanci na úspěch. Nejnovější vývoj ukazuje, že se linuxový ransomware snaží cílit na operační systémy serverů, které slouží ke spouštění aplikací ve virtualizovaných prostředích. Útočníci nyní hledají to nejcennější, co se v cloudových prostředích nachází, aby napadenému cíli způsobili maximální škody. Jako příklad lze uvést rodinu ransomwaru Defray777, která šifrovala operační systémy na serverech ESXi, nebo rodinu ransomwaru DarkSide, která ochromila produktovody Colonial Pipeline a způsobila v USA celoplošný nedostatek pohonných hmot.
Cryptojackingové útoky využívají XMRig k těžbě kryptoměny Monero
Kybernetičtí zločinci, kteří hledají okamžitý finanční zisk, se často zaměřují na kryptoměny jednou ze dvou obvyklých metod. Těmi jsou jednak krádeže kryptoměnových peněženek pomocí malwaru, jednak zpeněžování ukradených cyklů CPU, tedy utajená těžba kryptoměn na úkor oběti při útoku zvaném cryptojacking. Většina cryptojackingových útoků se zaměřuje na těžbu měny Monero (XMR) a analytický tým VMware TAU zjistil, že v 89 % případů jsou k těžbě užívány knihovny související s XMRig. Z tohoto vyplývá, že jsou-li v binárních souborech Linuxu odhaleny knihovny a moduly specifické pro XMRig, je to pravděpodobně důkaz neoprávněné těžby kryptoměn. Tým VMware TAU si také povšiml, že nejčastěji užívanou technikou nástrojů pro těžbu kryptoměn na Linuxu je obcházení obranných mechanismů. Vzhledem k tomu, že cryptojackingové útoky na rozdíl od ransomwaru zcela nenarušují provoz cloudových prostředí, je výrazně obtížnější je odhalit.
Útočníci upřednostňují Cobalt Strike jako nástroj pro vzdálený přístup
Aby útočníci získali kontrolu a udrželi se v napadeném prostředí, snaží se do systému nainstalovat nástroje, které jej umožní na dálku částečně ovládat. K tomu může sloužit malware, webshelly nebo nástroje pro vzdálený přístup (RAT). Jedním z nejčastěji užívaných nástrojů v tomto ohledu je komerční produkt pro penetrační testování Cobalt Strike a jeho nedávno vydaná varianta Vermilion Strike pro Linux. Cobalt Strike je velmi rozšířenou hrozbou pro systémy Windows a jeho rozšíření na operační systém Linux dokazuje snahu útočníků pokrýt co nejvíce platforem pomocí snadno dostupných nástrojů.
Tým VMware TAU mezi únorem 2020 a listopadem 2021 na internetu objevil více než 14 000 aktivních serverů Cobalt Strike Team. Celkový podíl prolomených a uniklých ID zákazníků Cobalt Strike dosahuje 56 %, což znamená, že více než polovina uživatelů Cobalt Strike mohou být kybernetičtí zločinci, nebo alespoň užívají Cobalt Strike nezákonně. Skutečnost, že RAT jako Cobalt Strike a Vermilion Strike se staly běžným nástrojem v rukou počítačových zločinců, představuje pro podniky významnou hrozbu.
„Od doby, kdy jsme zpracovávali naši analýzu, byly zaznamenány další rodiny linuxového ransomwaru, potenciálně zneužívajícího k útokům a zranitelnosti Log4j,“ říká Brian Baskin, manažer výzkumu hrozeb ve společnosti VMware. „Zjištění popisovaná v této studii mohou posloužit k lepšímu pochopení povahy linuxového malwaru a ke zmírnění rostoucí hrozby, kterou představuje ransomware, těžba kryptoměn a RAT pro multicloudová prostředí. Útoky namířené proti cloudu se neustále vyvíjejí. Podniky by proto měly zavádět opatření na principu nulové důvěry (tzv. Zero Trust) jako způsob zabezpečení celé infrastruktury, který systémově chrání proti hrozbám přicházejícím ze všech směrů.“
Plná verze studie je k dispozici ke stažení zde
Metodika
Analytický tým VMware Threat Analysis Unit (TAU) pomáhá chránit zákazníky před kybernetickými útoky díky inovacím a výzkumu na špičkové úrovni. Tým TAU společnosti VMware se skládá z analytiků malwaru, reverzních inženýrů, lovců hrozeb, datových vědců a zpravodajských analytiků. Abychom pochopili, jak detekovat a předcházet útokům, které obcházejí tradiční strategie souborově orientované prevence, tým TAU se zaměřuje na techniky, které kdysi bývaly doménou pokročilých hackerů, avšak nyní se přesouvají na trh komoditních útoků. Tým využívá velká data v reálném čase, zpracování toku dat o událostech, statickou, dynamickou a behaviorální analýzu a strojové učení.
Použil řadu statických a dynamických technik k popisu různých rodin malwaru zaznamenaného v linuxových systémech na základě souboru metadat o binárních souborech Linuxu. Všechny vzorky v tomto souboru dat jsou veřejné, takže jsou snadno dostupné prostřednictvím služby VirusTotal nebo internetových stránek významných distribucí Linuxu. Tým TAU shromáždil více než 11 000 neškodných vzorků z několika distribucí Linuxu, konkrétně se jednalo o Ubuntu, Debian, Mint, Fedora, CentOS a Kali. Následně získal sadu datových vzorků pro dvě třídy hrozeb – ransomware a kryptominery. Nakonec sestavil soubor dat o škodlivých binárních souborech ELF ze služby VirusTotal, které posloužily jako testovací. Veškerá data pocházela z období červen až listopad 2021.
Zdroje a citace
