Хакеры патчат за собой: новая уловка на Linux

Исследователи в области кибербезопасности наткнулись на любопытную практику среди хакеров, атакующих облачные Linux-серверы: теперь злоумышленники не просто взламывают системы, но и аккуратно "чинят" дыру, через которую сами проникли. Но не стоит благодарить неизвестного ангела-хранителя. По данным Red Canary, всё это ради того, чтобы никто другой не воспользовался найденной уязвимостью и чтобы скрыться от расследования.

Речь идёт об уязвимости CVE-2023-46604 с максимальным уровнем опасности, найденной в Apache ActiveMQ — популярной платформе обмена сообщениями для Java-приложений. Благодаря этой брешь, киберпреступники получали постоянный доступ к серверу, после чего быстро ставили условную "заглушку", исправляя баг. Мол, вход только для избранных.

Но на этом шоу не заканчивается. Помимо "лата" на дыру, злоумышленники разворачивали вредоносную Sliver — систему доступа и управления, которая давала полный контроль над сервером. Дополнительно они настраивали sshd на вход с root-правами — то есть сдают ключи от квартиры вместе с серверами.

Особую пикантность добавляет новый загрузчик DripDropper, впервые зафиксированный Red Canary. Чтобы его запустить, нужен пароль — так что автоматические системы обнаружения бессильны. DripDropper общается с хакерами через Dropbox — сервис для обмена файлами. Он маскирует своё присутствие, используя встроенные ключи авторизации и запутывает анализ трафика, ведь Dropbox официально не числится "опасным местом". Считается, что DripDropper грузит два разных вредоносных компонента.

Red Canary напоминает: уязвимости веб-серверов — одна из самых частых причин взлома Linux-систем. Особенно в эпоху, когда инфраструктура почти полностью уходит в облака и работает на Unix-подобных ОС. Защитные меры в таких условиях должны быть не только продуманными, но и специализированными: общий хардening уже не спасёт.