Microsoft avverte della nuova variante di botnet destinata ai sistemi Windows e Linux

Microsoft ha avvertito le aziende che i suoi esperti di sicurezza hanno riscontrato una nuova variante della botnet Sysrv che supporta exploit aggiuntivi e può ottenere il controllo dei server Web.

La famiglia di botnet è stata osservata dal 2020 ed è nota per prendere di mira i sistemi Windows e Linux, installando minatori di criptovaluta Monero.

La nuova variante, soprannominata Sysrv-K, è wormable ed esegue la scansione di Internet alla ricerca di vulnerabilità nelle app Web e nei database da sfruttare e installare, ha affermato Microsoft in un thread di Twitter.

Sysrv-K funziona in modo simile alle varianti precedenti in quanto esegue la scansione di chiavi SSH (Secure Shell), indirizzi IP e nomi host, prima di provare a diffondere copie di se stesso nella rete.

La natura wormable Sysrv-K è un problema per le aziende che eseguono Windows o Linux su sistemi con connessione a Internet. Microsoft ha consigliato a tutti di proteggere tutti i sistemi con connessione a Internet e di correggere le vulnerabilità di sicurezza note.

Le vulnerabilità utilizzate da Sysrv-K sono un misto di minacce più vecchie e più recenti e abbracciano una miriade di tipi, inclusi l'attraversamento del percorso, la divulgazione di file remoti, il download arbitrario di file e l'esecuzione di codice in modalità remota.

Uno dei nuovi comportamenti osservati in Sysrv-K, e non nelle varianti precedenti, è la scansione dei file di configurazione di WordPress e dei relativi backup per recuperare le credenziali del database.

Sysrv-K utilizza quindi queste credenziali raccolte per ottenere il controllo del server Web in cui può utilizzare i suoi strumenti di comunicazione aggiornati, come l'accesso a un bot di Telegram.

La famiglia Sysrv

La famiglia di botnet Sysrv esiste da dicembre 2020, ma la sua attività è aumentata notevolmente intorno a marzo 2021, spingendo società di sicurezza informatica come Juniper ad analizzare gli attacchi.

Da quando è stato lanciato per la prima volta, sono stati apportati diversi miglioramenti a Sysrv, come la compilazione di worm e Monero miner in un unico binario l'anno scorso.

Juniper ha affermato che la combinazione dei due consentirebbe all'attore delle minacce "un migliore controllo e gestione" poiché il binario viene costantemente aggiornato.

Come parte dello script del caricatore, anche le chiavi SSH utilizzate nella variante più recente sono state aggiunte solo l'anno scorso prima che l'attività iniziasse a crescere. I ricercatori hanno affermato che questa era un'altra iniziativa utilizzata per ottenere una maggiore persistenza nelle macchine bersaglio che potrebbero portare ad attacchi più sofisticati rispetto al mining di criptovalute.

Un'analisi NHS Digital di Sysrv ha concluso che il binario è scritto in Go, un linguaggio di sviluppo multipiattaforma che sta diventando sempre più popolare tra i criminali informatici.

Sysrv prepara il sistema infetto rimuovendo tutti i minatori di criptovaluta attualmente installati prima di terminare i servizi e modificare il firewall del sistema.

Quindi installa il minatore Monero - il tipo di minatore può dipendere dalla variante che infetta una macchina - e cerca modi per spostarsi e diffondersi lateralmente durante l'esecuzione del programma miner.