Phát hiện chiến dịch tấn công mã độc nguy hiểm nhắm vào Linux

Các chuyên gia bảo mật gần đây đã phát hiện ra một backdoor Linux mới có tên WolfsBane, đang được nhóm hacker Gelsemium APT có liên kết với Trung Quốc sử dụng để triển khai các hoạt động độc hại.

Đây cũng là trường hợp được ghi nhận đầu tiên về việc nhóm Gelsemium sử dụng phần mềm độc hại Linux. Backdoor này được thiết kế để đánh cắp dữ liệu nhạy cảm, bao gồm thông tin hệ thống, thông tin đăng nhập của người dùng và các tệp và thư mục cụ thể.

WolfsBane trên thực tế là phiên bản Linux của Gelsevirine, một backdoor Windows mà Gelsemium đã sử dụng từ năm 2014. Backdoor này được phân phối bằng một trình thả xuống đóng giả là công cụ lập lịch lệnh “chuẩn auth”. Sau khi thực thi, trình thả xuống sẽ cài đặt trình khởi chạy WolfsBane và backdoor trên hệ thống mục tiêu. Trình khởi chạy được ngụy trang thành một thành phần desktop KDE, trong khi backdoor được ẩn dưới dạng một dịch vụ hệ thống.

Backdoor WolfsBane giao tiếp với máy chủ chỉ huy và điều khiển (C&C) thông qua một giao thức mạng tùy chỉnh. Nó có thể chạy lệnh, tải xuống tệp và tải chúng lên máy chủ C&C. WolfsBane cũng có thể ẩn sự tồn tại của nó trên hệ thống bằng cách thay đổi các tệp cấu hình của hệ thống.

Ngoài WolfsBane, các nhà nghiên cứu ESET đã xác định được một backdoor Linux khác, gọi là FireWood, có liên quan đến phần mềm độc hại Project Wood. Trước đây, Gelsemium đã sử dụng Project Wood làm backdoor Windows. FireWood là phiên bản Linux của Project Wood và cũng được thiết kế để đánh cắp thông tin nhạy cảm trên hệ thống mục tiêu.

Các nhà nghiên cứu tin rằng sự chuyển đổi sang phần mềm độc hại Linux là do những cải tiến trong bảo mật điểm cuối của Windows. Do đó, các tác nhân đe dọa đang khám phá những hướng tấn công mới, ngày càng tập trung vào việc khai thác các lỗ hổng trong các hệ thống kết nối internet, hầu hết trong số đó chạy trên Linux.

Việc phát hiện ra WolfsBane và FireWood là lời nhắc nhở rằng các hệ thống Linux có kết nối internet hiện về cơ bản rất dễ bị tấn công. Các tổ chức, doanh nghiệp phải hiểu được mối nguy hiểm mà phần mềm độc hại Linux gây ra và áp dụng các biện pháp an toàn cần thiết để bảo vệ hệ thống của họ. Điều này bao gồm sử dụng mật khẩu mạnh, cập nhật phần mềm và thận trọng khi tải xuống và chạy các tệp cụ thể.