Un malware Linux colpisce Weblogic Server per eseguire un cryptominer

I ricercatori di Aqua Nautilus hanno individuato un nuovo malware Linux che prende di mira Weblogic Server di Oracle per eseguire un cryptominer.

Gli attaccanti dietro il malware sfruttano alcune vulnerabilità di Weblogic, come errori di deserializzazione e controlli di accesso inadeguati, per distribuire Hadooken, il payload principale che a sua volta esegue il malware Tsunami e un cryptominer.

Al momento non è chiaro per cosa venga usato il malware Tsunami: durante gli attacchi osservati, questo veniva semplicemente installato sul dispositivo compromesso ma non era parte attiva dell’operazione; è probabile quindi che venga usato per altri scopi successivi all’attacco, per esempio per la raccolta di informazioni.

Pixabay

Dopo aver ottenuto l’accesso al dispositivo con Weblogic Server, gli attaccanti eseguono contemporaneamente uno script Python e uno script shell che si occupano entrambi di scaricare il malware Hadooken. Lo script shell si occupa anche di iterare su diverse directory contenenti dati SSH, come credenziali utente, informazioni sull’host e secret, e sfruttare queste informazioni per attaccare server noti; in seguito, cerca di spostarsi su altri dispositivi dell’organizzazione per diffondere Hadooken.

I ricercatori hanno individuato due indirizzi IP dai quali viene scaricato il malware, uno registrato in Germania e l’altro in Russia. Il primo è ancora attivo ed è stato usato in passato da TeamTNT e Gang 8220, ma ciò non basta per attribuire con certezza questi nuovi attacchi a uno dei gruppi; il secondo risulta invece inattivo.

Nel server relativo al primo indirizzo IP il team ha individuato uno script usato per distribuire il ransomware Mallox, anche se questa operazione non è legata al malware Linux.

Secondo quanto riportato dai ricercatori, ci sono più di 230.000 istanze Weblogic Server connesse a Internet, la maggior parte delle quali è protetta; ci sono comunque delle console di admin esposte a internet che sono vulnerabili a questi attacchi e che andrebbero protette il prima possibile.

Il team di Aqua Nautilus ricorda di controllare periodicamente le configurazioni degli ambienti e risolvere tutte le configurazioni errate per proteggersi da attacchi di questo tipo. È importante inoltre affidarsi a soluzioni di sicurezza robuste per monitorare le attività negli ambienti e individuare le vulnerabilità da sistemare.