Новий ботнет Panchan заражає Linux-сервера програмами-майнерами – Біти медіа

Фахівці з комп'ютерної безпеки компанії Akamai повідомили про виявлення нового ботнету, який атакує вразливі SSH-сервери та поширює шкідливе ПЗ для майнінгу.

У своєму звіті аналітики пишуть, що новий ботнет має ознаки SSH-хробака ― комп'ютери він заражає через SSH-підключення, де підбирає пароль за допомогою словника та методики заміни ключів. Після отримання доступу вірус розміщує майнер криптовалют, причому намагається максимально приховати свою діяльність, Наприклад, використовує моніторинг процесів та у разі небезпеки відключає модуль майнінгу.

Ботнет був виявлений «у живій природі» у березні 2022 року. Він написаний мовою програмування Golang. Це досить гнучка мова, який дозволяє легше заражати різні архітектури комп'ютерів та дистрибутиви Linux.

Після отримання доступу до сервера через SSH вірус створює приховану папку та розміщує себе там під ім'ям xinetd.. Потім звертається до спеціального сервера Discord через запит HTTPS POST. Робиться це для відстеження зараження хакерами, що виготовили шкідливу програму.. Після вірус копіює себе як "/bin/system-worker" і реєструється як новий сервіс systemd, щоб стати в список програм для автозавантаження.

Цікаво, що спілкування ботнета та керуючого центру не зашифровано і проходить по порту TCP 1919. У цьому порту вірус отримує конфігурацію майнера та інші настройки. Для майнінгу використовується програмне забезпечення NiceHash, тому фахівці Akamai не змогли оцінити транзакції та масштаби ботнету..

Більшість заражених мереж належить до освітніх установ, розташованим у США. При цьому, судячи з певних ознак, ботнет – родом із Японії.

Нещодавно компанія Microsoft розповіла про віруси та методи злому Cryware, що дозволяють красти активи з гарячих криптогаманців.