Вредоносное ПО стало скрываться в фантастических данных
Исследователи безопасности обнаружили новую вредоносную программу-троян для удаленного доступа (RAT, «КРЫСА»), которая пользуется новым необычным способом скрываться на серверах.
Новое вредоносное ПО, получившее название CronRAT, скрывается в запланированных задачах на серверах Linux, поскольку запускается 31 февраля, в дату, которой не существует.
Обнаруженный и названный компанией в сфере безопасности электронной коммерции Sansec, CronRAT является частью растущей тенденции в области вредоносных программ Magecart, ориентированных на серверы Linux. CronRAT используется для разрешения кражи данных программами-ворами с кредитных карт Magecart на стороне сервера.
Компания по безопасности описывает вредоносное ПО как «сложное», и оно остается незамеченным большинством поставщиков антивирусных программ. Sansec пришлось переписать свой механизм обнаружения, чтобы обнаружить вредоносное ПО и узнать, как оно работает.
Название CronRAT отсылает к инструменту Linux cron, позволяющему администраторам создавать в системе запланированные задания, которые должны выполняться в определенное время суток или в обычный день недели.
«Главная черта CronRAT заключается в том, что он скрывается в подсистеме календаря серверов Linux («cron») в несуществующий день. Таким образом, он не привлечет внимания администраторов серверов. И многие продукты безопасности не сканируют систему cron Linux», объяснили в Сансеке. Вредоносная программа использует «сложную программу Bash, которая включает самоуничтожение, временную модуляцию и настраиваемый двоичный протокол для связи с внешним управляющим сервером».
Карточные скиммеры Magecart – проблема, которая не исчезнет в ближайшее время, поскольку электронная коммерция продолжает играть жизненно важную роль в покупках во время продолжающейся пандемии. Накануне Черной пятницы Национальный центр кибербезопасности (NCSC) предупредил, что он обнаружил 4 151 розничного торговца, взломанного хакерами, нацеленными на ошибки на страницах оформления заказа за последние 18 месяцев. Большинство атак были направлены на ошибки в популярной платформе электронной коммерции Magento. В прошлом году ФБР выпустило аналогичное предупреждение о злоумышленниках Magecart, нацеленных на плагин Magento.
