Rischio sicurezza: NoaBot colpisce i sistemi Linux
Emergenza nei sistemi basati su Linux: NoaBot sfrutta le vulnerabilità SSH per il mining nascosto di criptovalute
NoaBot è un nuovo malware che mira a dispositivi Linux per usarli nel mining di criptovalute. Si nasconde meglio di altri virus e si diffonde decifrando password SSH deboli. Akamai ha studiato e tracciato NoaBot, fornendo consigli per riconoscere e fermarlo.
Il panorama delle minacce informatiche si arricchisce di una nuova insidia: NoaBot. Questo malware si basa sulla struttura di Mirai, noto per aver creato scompiglio nel 2016 attraverso attacchi DDoS. A differenza del progenitore, NoaBot punta a installare cryptominer su dispositivi Linux, sfruttandone le risorse per il mining di criptovalute. Scoperto da Akamai, questo pericoloso software cerca di decifrare le password SSH vulnerabili, mostrando un'evoluzione nella strategia dei cybercriminali.
Metodi innovativi di mascheramento per NoaBot
Una particolarità di NoaBot è il suo metodo di occultare l'attività di mining. Normalmente i cryptominer inviano direttamente ai wallet le criptovalute estratte, processo facilmente tracciabile dai ricercatori. NoaBot, invece, crittografia le impostazioni di configurazione e le rivela solo al momento dell'esecuzione in memoria, cambiando la variabile di configurazione tipica con una propria. Questo rende molto più complesso individuare e monitorare i wallet degli attaccanti.
La ricerca di Akamai e la diffusione di NoaBot
Nell'ultimo anno, Akamai ha utilizzato honeypots per tracciare l'attività di NoaBot, identificando attacchi provenienti da 849 IP diversi. Questi IP sono distribuiti in tutto il mondo, con un numero significativo proveniente dalla Cina. Non è chiaro se il raggio d'azione di NoaBot si limiti ai dispositivi monitorati o se sia più esteso, rendendo l’entità della botnet potenzialmente maggiore.
Riconoscere e contrastare NoaBot
Per individuare NoaBot e proteggersi da esso, Akamai ha fornito un set di indicatori di compromissione. Questo malware, essendo compilato con la libreria UClibc anziché GCC come Mirai, elude spesso i sistemi antivirus, essendo classificato diversamente. Inoltre, nasconde la propria esecuzione in cartelle casuali all'interno della directory /lib. Akamai sul proprio blog fornisce un'analisi tecnica dettagliata e risorse come lo strumento Infection Monkey per assistere nella verifica e nella ricerca di infezioni.
Follow us on Instagram for more pills like this01/14/2024 20:31
Marco Verro