Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
IconAds: quando le app fantasma diventano portali pubblicitari
Ransomware e conflitti d’interesse: ex negoziatore sotto inchiesta per presunti legami con i cybercriminali
In aumento i cyberattacchi dall’Iran: l’allarme delle agenzie di sicurezza americane
Una vulnerabilità di Open VSX Registry mette in pericolo milioni di sviluppatori
Le stampanti multifunzione sono piene di bug! Uno espone la password di admin e Brother fa il record

Nuovo crypto-miner usa Cron per assicurarsi la persistenza

Giu 20, 2019 Marco Schiaffino Attacchi, In evidenza, Malware, News, RSS 0

Il malware prende di mira i Web Server su piattaforma Linux per sfruttare le risorse di sistema allo scopo di generare cripto-moneta. Se rimosso, si reinstalla da solo.

La partita a scacchi tra pirati informatici e amministratori dei server Web continua senza sosta. Dopo l’ondata di crypto-miner registrata negli ultimi mesi, infatti, tutti i responsabili IT hanno preso contromisure per mettere in sicurezza i loro sistemi implementando, in particolare, sistemi di monitoraggio del consumo di risorse per individuare eventuali componenti sospetti e disattivarli.

La risposta dei cyber-criminali, però, non si è fatta attendere. Come spiega Luke Leal, un ricercatore di Sucuri, i pirati stanno utilizzando nuove tecniche per assicurare la persistenza dei loro miner in modo che possano continuare il loro lavoro anche se qualcuno interviene per rimuoverli.

Il caso analizzato da Leal nel suo report spiega bene le tecniche utilizzate. Il vettore di attacco è un file bash, chiamato cr2.sh, che una volta eseguito avvia la procedura di infezione seguendo una precisa procedura. Per prima cosa, il malware si preoccupa di controllare l’eventuale presenza di una serie di processi tra cui Xmrig e CryptoNight.

Se sono presenti, li termina. La logica, che non rappresenta una novità e di cui abbiamo parlato già in precedenza, è quella di fare piazza pulita di eventuali miner installati da altri cyber-criminali.

Una volta ripulita la macchina dalla presenza di concorrenti indesiderati, avvia il collegamento a un server predefinito da cui scarica il miner sotto forma di un file che viene memorizzato come /tmp/php. In seguito scarica dallo stesso server il file di configurazione che permette l’esecuzione dello script.

Una volta che il processo è caricato in memoria, i due file utilizzati per avviare il processo vengono cancellati allo scopo di nascondere le tracce dell’infezione.

Il vero tocco di classe, però, è la tecnica utilizzata per garantire la persistenza del processo. Lo script, infatti, usa Cron (un job scheduler utilizzato in ambiente Unix – ndr) per controllare ogni minuto se il processo è attivo. Nel caso in cui sia stato eliminato, il cronjob avvia il download del file cr2.sh e riavvia l’intero processo.

In questo modo, ogni sforzo per eliminare in via definitiva il crypto-miner dal Web Server è destinato a fallire. Almeno fino a quando l’amministratore non controllerà la coda di Cron e si accorgerà della presenza del job in questione.

Condividi l'articolo