Podle studie společnosti VMware více než polovina uživatelů používá nástroj Cobalt Strike protiprávně.
Jako v současnosti nejběžnější cloudový operační systém tvoří Linux klíčovou součást digitální infrastruktury a pro útočníky se rychle stává vstupní branou do multicloudového prostředí. Současná opatření proti malwaru se většinou zaměřují na řešení hrozeb namířených na systém Windows, takže mnoho veřejných a privátních cloudových implementací zůstává zranitelných hlavně vůči útokům, které cílí na systémy založené na Linuxu.
Společnost VMware zveřejnila studii o počítačových hrozbách „Odhalování malwaru v linuxových multicloudových prostředích“. Studie podrobně popisuje, jak kybernetičtí útočníci užívají malware k napadání linuxových operačních systémů. Mezi hlavní zjištění patří:
• Ransomware se snaží cílit na operační systémy serverů, které slouží ke spouštění aplikací ve virtualizovaných prostředích.
• 89 % útoků typu cryptojacking užívá knihovny související s XMRig.
• Více než polovina uživatelů nástroje Cobalt Strike mohou být kybernetičtí zločinci. Nebo jej alespoň neužívají jako testovací nástroj, k čemuž byl původně určený, ale pro vlastní prospěch.
„Kyberzločinci výrazně rozšiřují svůj záběr a do svého arzenálu přidávají malware zacílený na operační systémy založené na Linuxu, aby maximalizovali efekt s co nejmenším úsilím,“ říká Giovanni Vigna, ředitel pro analýzu hrozeb ve společnosti VMware. „Zjistili, že namísto infikování koncového bodu a postupu k cílům s vyšší hodnotou, může být podstatně výhodnější napadnout server. Útočníci považují veřejné i privátní cloudy za vysoce hodnotné cíle kvůli tomu, že poskytují přístup ke službám kritické infrastruktury a důvěrným datům. Dnešní opatření proti malwaru se však většinou zaměřují na obranu systémů Windows, takže mnoho veřejných a privátních cloudových implementací zůstává zranitelných vůči útokům na linuxové operační systémy.“
Vzhledem k tomu, že narůstá množství i důmyslnost malwaru zaměřeného na operační systémy založené na Linuxu, musí podniky klást větší důraz na detekci hrozeb. Analytická jednotka TAU společnosti VMware ve své studii analyzovala hrozby, s nimiž se lze setkat u operačních systémů založených na Linuxu v multicloudových prostředích: ransomware, nástroje pro těžbu kryptoměn a nástroje pro vzdálený přístup.
Ransomware cílí na cloud, aby způsobil maximální škody
Ransomware patří k hlavním příčinám narušení systémů a pro podniky a organizace může mít úspěšný útok na cloudové prostředí katastrofální následky. Ransomwarové útoky proti cloudovým implementacím bývají cílené a mnohdy jsou spojené s vyvedením dat, čímž útočníci získávají možnost dvojitého vydírání, a tedy vyšší šanci na úspěch. Nejnovější vývoj ukazuje, že se linuxový ransomware snaží cílit na operační systémy serverů, které slouží ke spouštění aplikací ve virtualizovaných prostředích. Útočníci nyní hledají to nejcennější, co se v cloudových prostředích nachází, aby napadenému cíli způsobili maximální škody. Jako příklad lze uvést rodinu ransomwaru Defray777, která šifrovala operační systémy na serverech ESXi, nebo rodinu ransomwaru DarkSide, která ochromila produktovody Colonial Pipeline a způsobila v USA celoplošný nedostatek pohonných hmot.
Cryptojackingové útoky využívají XMRig k těžbě kryptoměny Monero
Kybernetičtí zločinci, kteří hledají okamžitý finanční zisk, se často zaměřují na kryptoměny jednou ze dvou obvyklých metod. Těmi jsou jednak krádeže kryptoměnových peněženek pomocí malwaru, jednak zpeněžování ukradených cyklů CPU, tedy utajená těžba kryptoměn na úkor oběti cryptojacking). Většina cryptojackingových útoků se zaměřuje na těžbu měny Monero (XMR) a analytický tým VMware TAU zjistil, že v 89 % případů jsou k těžbě užívány knihovny související s XMRig. Z tohoto vyplývá, že jsou-li v binárních souborech Linuxu odhaleny knihovny a moduly specifické pro XMRig, je to pravděpodobně důkaz neoprávněné těžby kryptoměn. Vzhledem k tomu, že cryptojackingové útoky na rozdíl od ransomwaru zcela nenarušují provoz cloudových prostředí, je výrazně obtížnější je odhalit.
Útočníci upřednostňují Cobalt Strike jako nástroj pro vzdálený přístup
Aby útočníci získali kontrolu a udrželi se v napadeném prostředí, snaží se do systému nainstalovat nástroje, které jej umožní na dálku částečně ovládat. K tomu může sloužit malware, webshelly nebo nástroje pro vzdálený přístup (RAT). Jedním z nejčastěji užívaných nástrojů v tomto ohledu je komerční produkt pro penetrační testování Cobalt Strike a jeho nedávno vydaná varianta Vermilion Strike pro Linux. Cobalt Strike je velmi rozšířenou hrozbou pro systémy Windows a jeho rozšíření na operační systém Linux dokazuje snahu útočníků pokrýt co nejvíce platforem pomocí snadno dostupných nástrojů.
Tým VMware TAU mezi únorem 2020 a listopadem 2021 na internetu objevil více než 14 000 aktivních serverů Cobalt Strike Team. Celkový podíl prolomených a uniklých ID zákazníků Cobalt Strike dosahuje 56 %, což znamená, že více než polovina uživatelů Cobalt Strike mohou být kybernetičtí zločinci, nebo alespoň užívají Cobalt Strike nezákonně. Skutečnost, že RAT jako Cobalt Strike a Vermilion Strike se staly běžným nástrojem v rukou počítačových zločinců, představuje pro podniky významnou hrozbu.
„Od doby, kdy jsme zpracovávali naši analýzu, byly zaznamenány další rodiny linuxového ransomwaru, potenciálně zneužívajícího k útokům a zranitelnosti Log4j,“ říká Brian Baskin, manažer výzkumu hrozeb ve společnosti VMware. „Zjištění popisovaná v této studii mohou posloužit k lepšímu pochopení povahy linuxového malwaru a ke zmírnění rostoucí hrozby, kterou představuje ransomware, těžba kryptoměn a RAT pro multicloudová prostředí. Útoky namířené proti cloudu se neustále vyvíjejí. Podniky by proto měly zavádět opatření na principu nulové důvěry (zero trust) jako způsob zabezpečení celé infrastruktury.“
