Tin tặc sử dụng lỗ hổng SambaCry để tấn công hệ thống Linux

09:49 | 27/06/2017 | LỖ HỔNG ATTT

Ngày 24/5/2017, một lỗ hổng trong phần mềm mã nguồn mở Samba đã bị phát hiện. Lỗ hổng này cho phép tin tặc kiểm soát từ xa các máy tính chạy hệ điều hành Linux và Unix.

Tin tặc sử dụng lỗ hổng SambaCry để tấn công hệ thống Linux

Samba là phần mềm mã nguồn mở chạy trên phần lớn các hệ điều hành: Windows, Linux, UNIX, IBM System 390 và OpenVMS. Samba cho phép chia sẻ các thư mục, chia sẻ mạng và máy in.

Lỗ hổng SambaCry là lỗ hổng thực thi mã lệnh từ xa CVE-2017-7494 ảnh hưởng đến tất cả các phiên bản sau Samba 3.5.0 được phát hành vào ngày 1/3/2010. Lỗ hổng được đặt tên là SambaCry do sự tương đồng của nó với WannaCry: cả hai đều nhằm đến giao thức SMB và có khả năng lây lan từ hệ thống này sang hệ khác qua giao thức SMB.

Theo công cụ tìm kiếm máy tính Shodan, gần 485.000 máy tính sử dụng phần mềm Samba có nguy cơ bị tấn công trên mạng Internet. Các nhà nghiên cứu dự đoán rằng các cuộc tấn công dựa trên lỗ hổng SambaCry cũng có tiềm năng lây lan giống như mã độc WannaCry.

Dự đoán này khá chính xác, vì hệ thống tài nguyên thông tin được xây dựng với mục đích giả dạng (honeypots) do nhóm các nhà nghiên cứu của Kaspersky Lab thiết lập đã phát hiện một chiến dịch mã độc đang khai thác lỗ hổng của SambaCry để lây nhiễm các máy tính Linux bằng phần mềm khai thác cryptocurrency.

Theo các nhà nghiên cứu, một nhóm tin tặc đã bắt đầu tấn công các máy tính Linux khi lỗ hổng trong phần Samba được tiết lộ công khai và cài đặt một phiên bản nâng cấp của CPUminer, phần mềm khai thác mật mã cryptocurency và Monero.

Cách thức tấn công lỗ hổng SambaCry

Tin tặc thực hiện hai payload trên các hệ thống mục tiêu: INAebsGB.so - một đoạn mã đảo ngược (reverse-shell) cung cấp truy cập từ xa cho kẻ tấn công và CblRWuoCc.so - một backdoor bao gồm các tiện ích khai thác giao thức mật mã CPUminer.

Các nhà nghiên cứu của Kaspersky Lab cho biết, thông qua đoạn mã đảo ngược trong hệ thống, tin tặc có thể thay đổi cấu hình hoặc lây nhiễm các loại phần mềm độc hại khác vào máy tính người dùng.

Phần mềm Adylkuzz, một phần mềm độc hại khai thác giao thức mật mã đang sử dụng lỗ hổng Windows SMB trước khi các cuộc tấn công WannaCry bùng phát (link đến bài Vẫn từ lỗ hổng của Windows, một cuộc tấn công khác đang được dự báo là có thể lớn hơn cả WanaCry).

Các phần mềm độc hại Adylkuzz cũng khai thác Monero bằng cách sử dụng số lượng lớn các tài nguyên máy tính của các hệ thống Windows bị xâm nhập.

Nhà phát triển phần mềm Samba đã vá lỗ hổng này trong các phiên bản Samba mới là: 4.6.4 / 4.5.10 / 4.4.14. Người dùng cần cập nhật thông tin bản vá mới nhất để tránh sự lây lan của mã độc này.

‹ › ×

Tin liên quan

Trojan RansomEXX tấn công hệ thống Linux

08:00 | 03/02/2021

Trong thời gian gần đây, các chuyên gia phân tích mã độc đã phát hiện ra một loại Trojan mã hóa mới được thiết kế dưới dạng tệp thực thi ELF, nhằm mục đích mã hóa dữ liệu trên các máy tính sử dụng hệ điều hành Linux.

Tin cùng chuyên mục

Hàng tỷ thiết bị Android dính lỗ hổng nghiêm trọng

14:00 | 17/05/2024

Microsoft đã phát hiện ra một lỗ hổng nghiêm trọng có tên là Dirty Stream đe dọa các ứng dụng Android phổ biến.

Phân tích phần mềm độc hại DinodasRAT trên Linux

19:00 | 30/04/2024

DinodasRAT hay còn được gọi là XDealer là một backdoor đa nền tảng được phát triển bằng ngôn ngữ C++ cung cấp nhiều tính năng độc hại. DinodasRAT cho phép kẻ tấn công theo dõi và thu thập dữ liệu nhạy cảm từ máy tính của mục tiêu. Một phiên bản cho hệ điều hành Windows của phần mềm độc hại này đã được sử dụng trong các cuộc tấn công nhắm mục tiêu vào các thực thể của Chính phủ Guyana và được các nhà nghiên cứu tới từ công ty bảo mật ESET (Slovakia) báo cáo với tên gọi là chiến dịch Jacana. Bài viết sẽ phân tích cơ chế hoạt động của phần mềm độc hại DinodasRAT dựa trên báo cáo của hãng bảo mật Kaspersky.

Chiến dịch phần mềm Sign1 đã xâm phạm hơn 39.000 trang web WordPress

09:00 | 02/04/2024

Một chiến dịch phần mềm độc hại trên quy mô lớn có tên Sign1 đã xâm phạm hơn 39.000 trang web WordPress trong 6 tháng qua, sử dụng cách thức chèn mã JavaScript độc hại để chuyển hướng người dùng đến các trang web lừa đảo.

Phần mềm độc hại mới GTPDOOR đánh cắp thông tin thuê bao và dữ liệu cuộc gọi

08:00 | 21/03/2024

Phần mềm độc hại mới trên Linux có tên là GTPDOOR được thiết kế để nhắm mục tiêu vào các mạng viễn thông dựa trên khai thác giao thức đường hầm trên GPRS (GPRS Tunneling Protocol-GTP) để thực thi câu lệnh và điều khiển (C2).