terça-feira, 30 de maio de 2017

Malware Shishiga, uma ameaça perigosa em evolução

Por Diogo Boot
Em 23/05/2017 no site iMasters

Pesquisadores de malware do ESET descobriram um novo malware para Linux chamado de Linux/Shishiga com foco em sistemas derivados. Ele usa quatro protocolos diferentes (SSH, Telnet, HTTP e BitTorrent) implementando uma arquitetura modular usando scripts Lua.
Entre todas as amostras para Linux que recebemos todos os dias, notamos uma amostra detectada somente pela Dr. Web – seu nome de detecção era Linux.LuaBot. Nós consideramos isso como suspeito, já que nossas taxas de detecção para a família Luabot tem sido geralmente elevadas. Após a análise, descobriu-se que este era, na verdade, um bot escrito em Lua, mas representa uma nova família e não está relacionado ao malware Luabot, visto nos meses anteriores. Assim, nós demos a ele um novo nome: Linux/Shishiga. Ele usa quatro diferentes protocolos (SSH — Telnet — HTTP — BitTorrent) e scripts Lua para modularidade”, conforme análise publicada pela empresa de segurança ESET.
O mecanismo de propagação por trás do malware Shishiga tira vantagem do ataque de força bruta. O código malicioso do Shishiga, na verdade, se baseia na utilização de credenciais fracas e padrões nas suas tentativas de se plantar em sistemas inseguros através de ataques de força bruta. O malware usa uma lista de senha embutida na tentativa de invadir um sistema.
bftelnet.lua
1[...]
2local accounts={
3    {"admin","admin"},
4    {"root","root"},
5    {"adm","adm"},
6    {"acer","acer"},
7    {"user","user"},
8    {"security","security"}
9}
10[...]
bfssh.lua
1[...]
2local accounts={
3    {"admin","admin"},
4    {"root","root"},
5    {"adm","adm"},
6    {"ubnt","ubnt"},
7    {"root",""},
8    {"admin",""},
9    {"adm",""},
10    {"user","user"},
11    {"pi","pi"},
12}
13--[[
14    {"acer","acer"},
15    {"security","security"},
16    {"root","toor"},
17    {"root","roottoor"},
18    {"root","password"},
19 
20    {"root","test"},
21    {"root","abc123"},
22    {"root","111111"},
23    {"root","1q2w3e"},
24    {"root","oracle"},
25    {"root","1q2w3e4r"},
26    {"root","123123"},
27    {"root","qwe123"},
28    {"root","p@ssw0rd"},
29    {"root","1"},
30    {"root","12"},
31    {"root","123"},
32    {"root","1234"},
33    {"root","12346"},
34    {"root","123467"},
35    {"root","1234678"},
36    {"root","12346789"},
37    {"root","123467890"},
38    {"root","qwerty"},
39    {"root","pass"},
40    {"root","toor"},
41    {"root","roottoor"},
42    {"root","password123"},
43    {"root","password123456"},
44    {"root","pass123"},
45    {"root","password"},
46    {"root","passw0rd"},
47    {"root","1qaz"},
48    {"root","1qaz2wsx"},
49    {"root","asdfgh"},
50    {"user","user"},
51    {"user",""},
52    {"acer","acer"},
53    {"security","security"},
54    {"root","passw0rds"},
55]]
56[...]
Apesar do Shishiga ter muitas semelhanças com outros malwares recentes ao abusar das credenciais fracas de Telnet e SSH, os pesquisadores consideram que ele é mais sofisticado devido ao uso do protocolo BitTorrent e módulos Lua.
A primeira vista, o Linux/Shishiga pode parecer ser como os outros, se espalhando através de credenciais fracas de Telnet e SSH, mas o uso do protocolo BitTorrent e módulos Lua o separa do rebanho. O BitTorrent usado em um worm inspirado no Mirai, Hajime, foi observado no ano passado e só podemos especular que pode se tornar mais popular no futuro”, afirma a ESET.
Segundo os especialistas, o malware Shishiga é um trabalho em progresso, no momento da investigação da ESET o malware infectou apenas um pequeno número de máquinas Linux, os pesquisadores também observaram sua contínua adição, remoção e modificação dos componentes juntamente com comentários de código e informações de depuração.
É possível que Shishiga ainda possa evoluir e se tornar mais difundido, mas o baixo número de vítimas, a constante adição, remoção e modificação dos componentes, comentários do código e até mesmo as informações de depuração, indicam claramente que é um trabalho em andamento. Para impedir que seus dispositivos sejam infectados pelo Shishiga e worms semelhantes, não use as credenciais padrão Telnet e SSH.
A ESET está alertando para uma possível evolução do malware Shishiga, a fim de “impedir que seus dispositivos sejam infectadas pelo Shishiga e worms semelhantes, você não deve usar credenciais padrão de Telnet e SSH”.

Nenhum comentário:

Postar um comentário