Новый ботнет Panchan заражает Linux-сервера программами-майнерами – Bits Media

Спецыялісты па камп'ютарнай бяспецы кампаніі Akamai паведамілі аб выяўленні новага ботнэту, які атакуе ўразлівыя SSH-серверы і распаўсюджвае шкоднаснае ПЗ для майнінгу.

У сваёй справаздачы аналітыкі пішуць, што новы ботнет мае прыкметы SSH-чарвяка ― компьютеры он заражает через SSH-подключение, где подбирает пароль с помощью словаря и методики подмены ключей. Пасля атрымання доступу вірус размяшчае майнеры криптовалют, прычым імкнецца максімальна схаваць сваю дзейнасць, напрыклад, использует мониторинг процессов и в случае опасности отключает модуль майнинга.

Ботнет был обнаружен «в живой природе» в марте 2022 года. Он написан на языке программирования Golang. Гэта дастаткова гнуткая мова, які дазваляе лягчэй заражаць розныя архітэктуры кампутараў і дыстрыбутывы Linux.

После получения доступа к серверу через SSH вирус создает скрытую папку и размещает себя там под именем «xinetd.». Затем обращается к специальному серверу Discord через запрос HTTPS POST. Делается это для отслеживания заражения изготовившими вредоносную программу хакерами. После вирус копирует себя как «/bin/system-worker» и регистрируется в качестве нового сервиса systemd, каб устаць у спіс праграм для аўтазагрузкі.

Цікава, што зносіны ботнета і кіраўніка цэнтра не зашыфравана і праходзіць па порце TCP 1919. Па гэтым порце вірус атрымлівае канфігурацыю майнера і іншыя наладкі.. Для майнінгу выкарыстоўваецца ПЗ NiceHash, таму спецыялісты Akamai не змаглі ацаніць транзакцыі і маштабы ботнэту.

Большая частка заражаных сетак належыць да адукацыйных устаноў, размешчаным у ЗША. Пры гэтым, мяркуючы па пэўных прыкметах, ботнет - родам з Японіі.

Недавно компания Microsoft рассказала о вирусах и методах взлома Cryware, позволяющих воровать активы с горячих криптокошельков.