Nag-hijack ang Windigo ng 25,000 mga server upang palabasin ang spam, malware

Ang mga pag-atake ay nahawahan at kinuha ang kontrol ng higit sa 25, 000 mga server ng Unix upang lumikha ng isang napakalaking platform ng pamamahagi ng spam at malware, sinabi ng ESET. Kailangang suriin agad ng mga administrador ng Linux at Unix kung ang kanilang mga server ay kabilang sa mga biktima.

Ang gang sa likod ng kampanya ng pag-atake ay gumagamit ng mga nahawaang server upang magnakaw ng mga kredensyal, ipamahagi ang spam at malware, at i-redirect ang mga gumagamit sa mga nakakahamak na site. Ang mga nahawaang server ay nagpapadala ng 35 milyong mga mensahe ng spam bawat araw, at pag-redirect ng kalahating milyong mga bisita sa Web sa mga nakakahamak na site araw-araw, sinabi ni Pierre-Marc Bureau, isang tagapamahala ng programa ng security intelligence sa ESET. Naniniwala ang mga mananaliksik na ang kampanya, na tinawag na Operation Windigo, ay nag-hijack ng higit sa 25, 000 mga server sa nakaraang dalawang-at-isang-kalahating taon. Ang pangkat ay kasalukuyang mayroong 10, 000 server sa ilalim ng kanilang kontrol, sinabi ng Bureau.

Ang ESET ay naglabas ng isang teknikal na papel na may higit pang mga detalye tungkol sa kampanya, at kasama ang isang simpleng ssh na utos na maaaring magamit ng mga administrador upang malaman kung ang kanilang mga server ay na-hijack. Kung nangyari iyon, dapat na muling mai-install ng mga administrator ang operating system sa mga nahawaang server at baguhin ang lahat ng mga kredensyal na ginamit upang mag-log in sa makina. Dahil ang ani ng Windigo ay nakakuha ng mga kredensyal, dapat ituring ng mga administrador ang lahat ng mga password at pribadong OpenSSH key na ginamit sa makina na iyon ay dapat makompromiso at dapat baguhin, binalaan ng ESET. Ang mga rekomendasyon ay nalalapat sa parehong mga administrasyong Unix at Linux.

Ang pag-Wiping ng makina at muling pag-install ng operating system mula sa simula ay maaaring tunog ng isang matinding, ngunit isinasaalang-alang na ang mga umaatake ay nagnanakaw ng mga kredensyal ng administrator, na-install sa likod, at nakakuha ng malayong pag-access sa mga server, ang pagkuha ng pagpipilian ng nukleyar ay tila kinakailangan.

Mga Elemento ng Pag-atake

Si Windigo ay nakasalalay sa isang sabong ng sopistikadong malware upang mai-hijack at mahawahan ang mga server, kabilang ang Linux / Ebury, isang OpenSSH na backdoor at kredensyal na nagnanakaw, pati na rin ang limang iba pang mga piraso ng malware. Sa paglipas ng isang solong katapusan ng linggo, ang mga mananaliksik ng ESET ay naobserbahan ang higit sa 1.1 milyong iba't ibang mga IP address na dumaan sa imprastruktura ng Windigo bago ma-redirect sa mga nakakahamak na site.

Ang mga website na kinompromiso ni Windigo ay nahawahan ang mga gumagamit ng Windows na may isang kit ng pagsasamantala na nagtulak sa pag-click sa pandaraya at pagpapadala ng spam, ay nagpakita ng mga kaduda-duda para sa mga site ng pakikipag-date sa mga gumagamit ng Mac, at na-redirect ang mga gumagamit ng iPhone sa mga online porn site. Ang mga kilalang organisasyon tulad ng cPanel at kernel.org ay kabilang sa mga biktima, bagaman nilinis nila ang kanilang mga system, sinabi ng Bureau.

Ang mga operating system na apektado ng sangkap ng spam ay kasama ang Linux, FreeBSD, OpenBSD, OS X, at kahit na Windows, sinabi ng Bureau.

Mga Server ng Rogue

Isinasaalang-alang na tatlo sa limang mga website ng mundo ay tumatakbo sa mga server ng Linux, ang Windigo ay may maraming potensyal na mga biktima na maglaro. Ang backdoor na ginamit upang ikompromiso ang mga server ay mano-mano ang na-install at sinasamantalahan ang mahinang pagsasaayos at kontrol ng seguridad, hindi kahinaan ng software sa operating system, sinabi ng ESET.

"Ang bilang na ito ay makabuluhan kung isinasaalang-alang mo ang bawat isa sa mga sistemang ito ay may access sa makabuluhang bandwidth, imbakan, kapangyarihan ng computing at memorya, " sabi ng Bureau.

Ang isang maliit na mga server na nahawaan ng malware ay maaaring maging sanhi ng mas maraming pinsala kaysa sa isang malaking botnet ng mga regular na computer. Ang mga server sa pangkalahatan ay may mas mahusay na hardware at lakas ng pagproseso, at may mas mabilis na koneksyon sa network kaysa sa mga computer ng end-user. Alalahanin na ang malakas na ipinamamahaging pagtanggi ng mga pag-atake ng serbisyo laban sa iba't ibang mga website ng pagbabangko noong nakaraang taon ay nagmula sa mga nahawaang Web server sa mga sentro ng data. Kung ang koponan sa likod ng Windigo ay nagpapalipat ng mga taktika mula lamang sa paggamit ng imprastraktura upang maikalat ang spam at malware sa isang bagay kahit na mas masahol, ang nagresultang pinsala ay maaaring maging makabuluhan.