Мой сайт

Статистика


Онлайн всего: 1
Гостей: 1
Пользователей: 0

Форма входа

Главная » 2013 » Май » 11 » Обнаружен бэкдор в системах с Apache, установленных вместе с cPanel
13:54
Обнаружен бэкдор в системах с Apache, установленных вместе с cPanel
Исследователи компании Sucuri обнаружили модифицированную версию бинарного файла web-сервера Apache, который перенаправлял некоторые адресованные к нему запросы на набор эксплоитов Blackhole. Выявленный бэкдор предназначен для перенаправления трафика на вредоносные сайты.

Вредоносное ПО, поражающее компоненты http-сервера Apache, обнаружено на Linux-серверах, использующих панель управления хостингом cPanel. В отличие от ранее встречающихся способов внедрения в Apache, основанных на загрузке отдельного троянского модуля, новый бэкдор отличается прямой интеграцией в исполняемый файл httpd. Вредоносная вставка добавляется непосредственно в исполняемый файл и перенаправляет на свой код несколько обработчиков, вызываемых в процессе обслуживания внешних запросов к http-серверу.

Обнаружение бэкдора намного усложнено тем, что он не оставляет каких-либо следов своей деятельности на жестком диске взломанного хоста. Так, вредоносное ПО сохраняет всю используемую им информацию в памяти, без привлечения жесткого диска. Для передачи служебной информации вредоносному коду злоумышленники также используют обфусцированные HTTP-запросы, которые не фиксируются в лог-файле работы Apache, в связи с чем следы взаимодействия вредоносного кода с C&C-сервером также отсутствуют.

Скомпрометированный web -сервер осуществляет перенаправление клиента на вредоносные страницы, для этого код бэкдора добавляет закодированную в формате base64 строку запроса, которая содержит информацию об оригинальном URL и был ли запрос адресован к js-файлу, для того, чтобы сервер смог предоставить правильную полезную нагрузку.

После перенаправления, для браузера клиента устанавливаются cookie, так что в дальнейшем, исключено его повторное перенаправление. Также эти cookie устанавливается в том случае, если запрашивается страница, похожая на страницу администрирования сервера.

Чтобы проверить системы на предмет инфицирования бэкдором, можно использовать тот факт, что вредонос использует вызов open_tty, которого нет в обычном httpd, поэтому если при выполнении grep -r open_tty /usr/local/urlpache/ будут выявлены файлы, то вероятно хост поражен вредоносным ПО.

Источник
Просмотров: 74 | Добавил: tux | Рейтинг: 0.0/0
Всего комментариев: 0
Добавлять комментарии могут только зарегистрированные пользователи.
[ Регистрация | Вход ]

Поиск

Календарь

«  Май 2013  »
ПнВтСрЧтПтСбВс
  12345
6789101112
13141516171819
20212223242526
2728293031

Архив записей

Друзья сайта

  • Официальный блог
  • Сообщество uCoz
  • FAQ по системе
  • Инструкции для uCoz