Kaj se je zgodilo
Po navedbah Cyber Security News je kampanja, usmerjena proti vladnim organizacijam in z državo povezani infrastrukturi, uporabljala AI podprte skripte za krajo poverilnic, ohranjanje dostopa do strežnikov Linux in iskanje občutljivih podatkov. Napadalci so spremenili zagonske datoteke uporabniške lupine in v njih podtaknili zlonamerni alias za ukaz sudo. Ko je uporabnik vnesel geslo, se je to kopiralo v datoteko, hkrati pa posredovalo pravemu ukazu, tako da je zahteva navidezno delovala normalno, geslo pa je bilo ukradeno.
Po navedbah preiskave Unit 42 je dejavnost poleg kraje gesel vključevala tudi spletne lupine (web shells), prilagojeno zlonamerno kodo, preiskovanje poštnih predalov in poskuse brisanja sledi. Raziskovalci poudarjajo, da napadalci niso izkoristili ranljivosti v samem orodju sudo, temveč so zlorabili datoteko .bashrc, ki se izvede ob zagonu lupine Bash. To razlikovanje je pomembno, saj namestitev programskega popravka sama po sebi ne odpravi tovrstne zlonamerne spremembe nastavitev.
Vir v tem kontekstu omenja tudi starejšo ranljivost CVE-2021-4034 v Linuxu kot splošno ozadje, vendar Unit 42 ni navedel, da je bila ta ranljivost uporabljena v opisani kampanji. CVE-2021-4034 je v NVD ocenjena s CVSS 3.1 7,8 in je uvrščena v katalog CISA KEV, kar pomeni potrjeno izkoriščanje v praksi, njena vrednost EPSS pa znaša 94,9 %. V NVD obstaja tudi javna PoC referenca za to ranljivost, kar pa ni dokaz, da je bila uporabljena v tej konkretni kampanji.
Kaj to pomeni za slovenska in evropska podjetja
Dogodek kaže, da napadalci vse pogosteje zlorabljajo zaupanja vredna orodja in standardne konfiguracijske mehanizme, namesto da bi iskali nove ranljivosti. Za podjetja, ki upravljajo strežnike Linux, to pomeni, da zgolj posodabljanje programske opreme ne zadošča za zaščito pred tovrstnim pristopom. Posebej izpostavljena so okolja z vladno ali kritično infrastrukturo, kjer so dolgotrajen dostop in kraja poverilnic lahko še posebej škodljivi.
Priporočeni ukrepi
Glede na opisano kampanjo je smiselno redno preverjati integriteto datotek, kot je .bashrc, in drugih zagonskih datotek lupine na strežnikih Linux ter spremljati nenavadne aliase za ukaze, kot je sudo. Prav tako je priporočljivo spremljati dnevnike za znake prisotnosti spletnih lupin in nenavadnega dostopa do poštnih predalov. Ker je CVE-2021-4034 uvrščena v katalog CISA KEV in ima visoko vrednost EPSS, je smiselno preveriti, ali so sistemi popravljeni v skladu z razpoložljivimi popravki iz NVD, ne glede na to, ali je ta ranljivost povezana s to konkretno kampanjo.
Vprašanja in odgovori
Ali je bila ranljivost CVE-2021-4034 uporabljena v tej kampanji? Vir tega ne navaja. CVE-2021-4034 je omenjena le kot splošno ozadje starejše ranljivosti v Linuxu, Unit 42 pa opisuje drugačno tehniko, torej spremembo konfiguracije lupine, ne izkoriščanje te ranljivosti.
Ali namestitev popravkov odpravi to grožnjo? Ne nujno. Ker gre za zlonamerno spremembo datoteke .bashrc in ne za izkoriščanje programske ranljivosti, je potrebno preveriti in očistiti konfiguracijske datoteke lupine, samo nameščanje popravkov pa težave ne reši.
Pogosta vprašanja
Ali je bila ranljivost CVE-2021-4034 uporabljena v tej kampanji?
Vir tega ne navaja. Omenjena je le kot splošno ozadje starejše Linux ranljivosti, Unit 42 pa opisuje drugačno tehniko s spreminjanjem konfiguracije lupine.
Ali namestitev popravkov odpravi to grožnjo?
Ne nujno, saj gre za zlonamerno spremembo datoteke .bashrc, zato je potrebno preveriti in očistiti konfiguracijske datoteke lupine.
Sorodne objave
- Hekerji napadli francoske hladilnike v trgovinah E. Leclerc, Intermarche in Cooperative U
- BeyondTrust popravil zero-day ranljivost, izkoriščano že od avgusta
- AhsayCBS: napadalci izkoriščajo dve ranljivosti za namestitev web shellov in rudarjev kriptovalut