Muhstik: армия зомби-серверов готова к новой DDoS-атаке

Известный ботнет Muhstik начал активно эксплуатировать исправленную в прошлом году уязвимость в Apache RocketMQ для захвата уязвимых серверов и увеличения масштабов своих DDoS-атак.

По информации компании Aqua Security, специализирующейся на облачной безопасности, Muhstik стал одной из главных угроз для IoT-устройств и серверов на базе Linux, заражая их для последующего майнинга криптовалют и проведения распределённых атак отказа в обслуживании (DDoS).

Впервые документированные атаки с использованием этого вредоносного ПО были зафиксированы в 2018 году. Muhstik активно использует известные уязвимости в веб-приложениях для своего распространения. Наиболее значимой из них стала уязвимость CVE-2023-33246 с критическим уровнем угрозы (CVSS 9.8), которая позволяет удалённым атакующим выполнять произвольный код, подделывая контент протокола RocketMQ или используя функцию обновления конфигурации.

Злоумышленники используют эту уязвимость для получения начального доступа к системе, после чего запускают скрипт с удалённого IP-адреса. Этот скрипт загружает основной вредоносный файл Muhstik («pty3») с другого сервера. Вредоносный код затем копируется в несколько директорий и изменяет файл «/etc/inittab», чтобы обеспечивать автоматический запуск при перезагрузке сервера.

Для маскировки вредоносный файл получает имя «pty3», что помогает ему скрываться под видом законного псевдотерминала. Также файл копируется в директории «/dev/shm», «/var/tmp», «/run/lock» и «/run», что позволяет ему выполняться прямо из памяти и избегать обнаружения.

Muhstik способен собирать системные метаданные, перемещаться на другие устройства через SSH и устанавливать связь с C2-доменом через IRC-протокол для получения дальнейших инструкций. Основная цель вредоносного ПО — использовать заражённые устройства для проведения различных DDoS-атак, перегружая сети жертв.

Несмотря на публичное раскрытие уязвимости CVE-2023-33246 более года назад, в Интернете до сих пор остаётся более 5200 уязвимых экземпляров Apache RocketMQ. Организациям необходимо обновить ПО до последней версии, чтобы минимизировать риски.

Согласно данным AhnLab Security Intelligence Center (ASEC), уязвимые MS-SQL серверы также активно атакуются различными типами вредоносного ПО, включая программы-вымогатели и трояны для удаленного доступа. Эксперты рекомендуют администраторам использовать сложные пароли и регулярно их менять, а также своевременно устанавливать обновления безопасности.