Вредоносные Linux-импланты маскируются под азиатские почтовые security-продукты

Специалисты по кибербезопасности выявили три ранее неизвестных бэкдора, ориентированных на Linux-системы. Особенность этих имплантов в том, что они мимикрируют под легитимные решения для защиты электронной почты и периметра сети, разработанные азиатскими вендорами. Поскольку вредоносное ПО внешне неотличимо от настоящих продуктов, его обнаружение стандартными средствами защиты серьёзно затруднено.

Подробности

Обнаруженные импланты представляют собой бэкдоры — вредоносный код, обеспечивающий скрытый удалённый доступ к скомпрометированной системе. Ключевая тактика атакующих заключается в имитации легитимных edge-решений и почтовых security-продуктов азиатского происхождения: злоумышленники рассчитывают, что администраторы и защитные механизмы примут вредоносные артефакты за штатные компоненты легитимного ПО. Такой подход — разновидность маскировки под доверенные приложения — заметно усложняет расследование: подозрительная активность сливается с нормальным поведением установленных средств защиты. Точный перечень затронутых продуктов, версий и идентификаторы CVE в исходном сообщении не раскрываются. Вредоносные импланты нацелены на Linux-инфраструктуру, в том числе на системы, выполняющие роль почтовых шлюзов и решений для защиты периметра. Подобные узлы представляют особую ценность для атакующих: они обрабатывают почтовый трафик и находятся на границе сети, поэтому компрометация такого решения даёт злоумышленнику широкие возможности для дальнейшего проникновения.

Что делать

Для снижения рисков рекомендуется:

• Провести проверку Linux-систем, особенно тех, где развёрнуты почтовые шлюзы и edge-решения, на предмет несанкционированных изменений и посторонних артефактов;
• Сверять установленное ПО с эталонными дистрибутивами и контрольными суммами от производителя, чтобы выявить подменённые компоненты;
• Ограничить сетевой доступ к критичным узлам, настроить сегментацию сети и строгий контроль исходящих соединений;
• Обеспечить централизованный сбор и анализ логов, чтобы фиксировать аномальную активность на границе сети;
• Следовать рекомендациям вендоров по обновлениям и отслеживать публикации об индикаторах компрометации, связанных с данным семейством имплантов.

Случай показывает, насколько опасно доверять ПО лишь по внешнему виду: маскировка под легитимные security-продукты позволяет вредоносным имплантам долго оставаться незамеченными. Организациям стоит сделать ставку на проверку целостности компонентов и мониторинг поведения, а не только на сигнатуры.

Источник: Dark Reading