Киберпреступники продолжают активно использовать ботнет Ebury, который с 2009 года скомпрометировал более 400 000 серверов Linux по всему миру. Согласно последним данным исследовательской компании ESET, эта вредоносная кампания остается одной из наиболее продвинутых и долгоживущих угроз для серверной инфраструктуры.
Описание
Ebury представляет собой бэкдор для OpenSSH и похититель учетных данных, впервые обнаруженный специалистами ESET еще в 2014 году в ходе расследования операции Windigo. За прошедшее десятилетие вредоносная программа не только не потеряла актуальности, но и продолжает развиваться, демонстрируя высокий уровень технической сложности и адаптивности злоумышленников.
Финансовая мотивация стоящих за Ebury преступных групп прослеживается в разнообразии методов монетизации: от рассылки спама и перенаправления веб-трафика до кражи конфиденциальных данных. Злоумышленники также активно похищают криптовалюту через атаки типа "человек посередине" (AitM) и номера кредитных карт через серверный веб-скимминг. Примечательно, что киберпреступникам удалось скомпрометировать инфраструктуру других вредоносных групп, включая операторов вредоносного ПО Vidar.
Способы проникновения Ebury на целевые системы включают использование украденных учетных данных, подбор паролей, инфильтрацию инфраструктуры хостинг-провайдеров, эксплуатацию уязвимостей в Control Web Panel (включая CVE-2021-45467) и атаки типа "adversary in the middle" через SSH.
Последняя известная версия Ebury, обнаруженная в конце 2023 года, демонстрирует существенные улучшения в скрытности и функциональности. Новая версия включает усовершенствованные методы обфускации, усложненный алгоритм генерации доменных имен (DGA), а также улучшенные механизмы сокрытия руткита от системных администраторов.
Особую опасность Ebury представляет благодаря своей способности развертывать дополнительные вредоносные модули. Среди наблюдаемых нагрузок исследователи выделяют HelimodSteal - модуль Apache для перехвата и эксфильтрации HTTP POST запросов, что позволяет похищать данные кредитных карт; HelimodProxy, используемый для спам-кампаний; и HelimodRedirect, перенаправляющий часть HTTP-трафика на рекламные ресурсы.
Устойчивость и адаптивность ботнета Ebury подчеркивает необходимость постоянного мониторинга безопасности серверной инфраструктуры, своевременного обновления программного обеспечения и реализации строгих политик управления доступом. Организациям рекомендуется проводить регулярные проверки систем на предмет признаков компрометации, уделяя особое внимание подозрительной активности, связанной с SSH-соединениями и необычными сетевыми подключениями.
Эксперты по безопасности продолжают отслеживать развитие угрозы и рекомендуют администраторам серверов применять комплексный подход к защите, включающий многофакторную аутентификацию, сегментацию сети и постоянный анализ журналов событий для раннего обнаружения потенциальных атак.
Индикаторы компрометации
