Siber güvenlik araştırmacıları ve tehdit aktörleri, bir Linux şifre çalan kötü amaçlı yazılım yükleyen sahte bir konsept (POC) CVE-2023-35829 Sustamiyesi ile hedeflenir.
UptyCs analistleri, tespit sistemleri beklenmedik ağ bağlantıları, yetkisiz sistem erişim denemeleri ve atipik veri transferleri gibi usulsüzlükleri işaretlediğinde rutin taramaları sırasında kötü niyetli POC'yi keşfettiler.
İki GitHub'dan çıkarılmış ve kalan biri hala canlı olarak kötü niyetli sahte POC istismarına ev sahipliği yapan üç depo bulundu.
Uptycs, BAD POC'nin güvenlik araştırma topluluğunun üyeleri arasında yaygın olarak paylaşıldığını bildirmektedir, bu nedenle enfeksiyonlar önemli sayıda bilgisayarda mevcut olabilir.
Sahte POC, 6.3.2'den önce Linux çekirdeğini etkileyen yüksek şiddetli kullanımsız bir kusur olan CVE-2023-35829 için bir istismar olduğunu iddia ediyor.
Ancak gerçekte, POC, başka bir Linux çekirdek güvenlik açığı olan CVE-2022-34918 için eski, meşru bir istismarın bir kopyasıdır.
Kod, ayrıcalıkları hala kullanıcı ad alanında sınırlı olmasına rağmen, bir kök kabuğu olduğu izlenimini vermek için çekirdek kaynaklarını ayıran bir Linux özelliği olan ad alanlarından yararlanır.
Bu, istismarın gerçek olduğu ve beklendiği gibi çalıştığı yanılsamasını güçlendirmek için yapılır ve saldırganlara tehlikeye atılan sistemde serbestçe dolaşmaları için daha fazla zaman verir.
Lansman üzerine POC ayrıca bir 'Kworker' dosyası oluşturur ve kalıcılık için '/etc/bashrc' dosyasına giden yolunu ekler.
Ardından, harici bir URL'den bir Linux Bash komut dosyasını indirmek ve yürütmek için saldırganın C2 sunucusuyla iletişime geçer.
İndirilen komut dosyası, sistemden değerli verileri çalmak için '/etc/passwd' dosyasına erişir, saldırgana sunucuya yetkisiz uzaktan erişim vermek için '~/.ssh/jsersized_keys'i değiştirir ve sonunda verileri verileri sunmak için CURL kullanır'. transfer.sh '.
Komut dosyası, kullanıcı adını, ana bilgisayar adını ve kurbanın ana dizininin içeriğini içeren verileri çalar. Ancak, tehdit şimdi sunucuya uzaktan erişime sahip olduğundan, istedikleri her şeyi manuel olarak çalabilirler.
BASH komut dosyası, sistem yöneticileri onlara güvenme eğiliminde olduğu ve genellikle bu girişleri incelemediği için tespitten kaçınmak için çekirdek düzeyinde süreçler olarak işlemlerini gizler.
UpttyCs, sahte POC'yi indiren ve kullanan araştırmacıların aşağıdaki adımları gerçekleştirmelerini önermektedir:
İnternetten indirilen POC'ler, sanal makineler gibi sanal alan/izole ortamlarda test edilmeli ve mümkünse yürütmeden önce kodlarını incelemelidir.
İkili dosyaları Virustotal'a göndermek de kötü amaçlı bir dosyayı tanımlamanın hızlı ve kolay bir yoludur.
Araştırmacıları hedeflemek için sahte POC'leri ve kötü amaçlı yazılımlarla tehdit aktörlerini kullanmak yeni değil.
Geçen ay, Vulncheck analistleri, tehdit aktörlerinin gerçek araştırmacıları güvenilir siber güvenlik şirketlerinden taklit ettikleri bir kampanya keşfetti.
Ekim 2022'de, üniversite araştırmacıları GitHub'da barındırılan tüm POC'lerin% 10,3'üne kadar kötü amaçlı yazılım olabileceğini açıklayan teknik bir makale yayınladılar.
Kuzey Koreli Lazarus bilgisayar korsanlarının da, arka fırınları yükleyen sahte POC'lerle kırılganlık araştırmacılarını hedeflemek için sosyal medyayı kullanan 2021 kampanyasından sorumlu olduğuna inanılıyor.
GitHub Push Windows, Linux Kötü Yazılımlarda Sahte Sıfır Gün POC istismarları
POC, Windows Win32k Bug için Saldırılardan Sergilenen
Yeni Fractureiser kötü amaçlı yazılım, Windows, Linux'u enfekte etmek için CurseForge Minecraft modlarını kullandı
Popüler ReportLab PDF Kütüphanesinde RCE Kususu için Serbest Taşıma
Avrecon kötü amaçlı yazılım, botnet oluşturmak için 70.000 linux yönlendiricisine bulaşır
Kaynak: Bleeping Computer