ХАКЕРЫ УСТАНАВЛИВАЮТ НА WINDOWS-СЕРВЕРЫ КРИПТОМАЙНЕРЫ ЧЕРЕЗ УЯЗВИМОСТЬ В IIS 6.0

ХАКЕРЫ УСТАНАВЛИВАЮТ НА WINDOWS-СЕРВЕРЫ КРИПТОМАЙНЕРЫ ЧЕРЕЗ УЯЗВИМОСТЬ В IIS 6.0

Kiberjinoyatchilar IIS 6.0 dagi eski zaiflikdan foydalanib, Electroneum konchilarini o’rnatmoqdalar.

Kiberjinoyatchilar Windows serverlarini buzish va Electroneum kriptovalyutasini qazib olish uchun dasturiy ta’minotni o’rnatish uchun Internet Information Services (IIS) 6.0 dagi zaiflikdan foydalanmoqdalar. Hujumlar keng tarqalgan emas, chunki ular IIS ning eskirgan versiyalarini nishonga oladi, ammo ularning ko’lami juda ta’sirli.

Hujumlar paytida, tajovuzkorlar o’tgan yilning mart oyida ikki xitoylik xavfsizlik tadqiqotchisi tomonidan aniqlangan IIS WebDAV xizmatidagi zaiflikdan (CVE-2017-7269) foydalanishdi. Aniqlanish vaqtida, zaiflik xakerlar tomonidan deyarli to’qqiz oy davomida faol ravishda foydalanilgan edi.

Dastlab, Microsoft IIS 6.0 va u bilan birga yetkazib berilgan operatsion tizimlar (Windows XP va Windows Server 2003) uchun qo’llab-quvvatlash muddati tugaganligi sababli, yamoq chiqarishni rejalashtirmagan edi. Biroq, zaiflik AQSh Milliy xavfsizlik agentligidan sizib chiqqan EXPLODINGCAN ekspluatatsiyasi bilan o’xshashliklarga ega edi va sotuvchi nihoyat 2017-yil iyun oyi o’rtalarida yamoq chiqardi. O’shandan beri u kamida bitta xakerlar guruhi tomonidan Windows serverlariga Monero kriptovalyuta maynerlarini o’rnatish uchun ishlatilgan.

F5 Labs tadqiqotchilarining fikriga ko’ra, boshqa bir xakerlar guruhi xuddi shu zaiflikdan foydalanmoqda, ammo Monero qazib olish dasturi o’rniga ular IIS 6.0 serverlariga Electroneum maynerlarini o’rnatmoqdalar. Zaiflik tajovuzkorlarga qaytishga yo’naltirilgan dasturlash eksploitlarini o’z ichiga olgan ASCII shellcode-ni o’rnatish imkonini beradi. Bu eksploitlar zaif xostga teskari qobiqni o’rnatadi, bu esa o’z navbatida maynerni yuklab oladi va qazib olish jarayonini boshlaydi. F5 Labs tadqiqotchilarining fikriga ko’ra, boshqa bir xakerlar guruhi xuddi shu zaiflikdan foydalanmoqda, ammo Monero qazib olish dasturi o’rniga ular IIS 6.0 serverlariga Electroneum maynerlarini o’rnatmoqdalar. Zaiflik tajovuzkorlarga qaytishga yo’naltirilgan dasturlash eksploitlarini o’z ichiga olgan ASCII shellcode-ni o’rnatish imkonini beradi. Bu eksploitlar zaif xostga teskari qobiqni o’rnatadi, bu esa o’z navbatida maynerni yuklab oladi va qazib olish jarayonini boshlaydi.

Hujumni yashirish uchun xakerlar Squiblydoo texnikasidan foydalanadilar, bu qonuniy OT ilovalari yordamida zararli operatsiyalarni yashirishni o’z ichiga oladi. Bundan tashqari, maynerning o’zi o’zini qonuniy lsass.exe jarayoni sifatida yashiradi.

Hozirda tadqiqotchilar tomonidan topilgan xakerlarning kriptovalyuta hamyonida atigi 99 dollar bor. Bu zararli kampaniya endigina boshlanganini yoki kiberjinoyatchilar o’z izlarini yashirish uchun manzilni aylantirayotganini ko’rsatishi mumkin.

IIS – bu Microsoft kompaniyasining bir qator internet xizmatlari uchun maxsus serverlar to’plami. IIS Windows NT operatsion tizimlari oilasi bilan tarqatiladi.

Electroneum – bu mobil ilova orqali qazib olish uchun mo’ljallangan yangi kriptovalyuta.