數(shù)千Linux和FreeBSD服務(wù)器感染Mumblehard惡意軟件
近期，ESET專家發(fā)現(xiàn)一種新型惡意軟件Mumblehard，該惡意軟件至少秘密存在了五年，感染了數(shù)千的Linux和FreeBSD服務(wù)器，并利用這些服務(wù)器投送垃圾郵件。
惡意軟件Mumblehard攻擊詳情
ESET安全專家通過監(jiān)視他們的C&C服務(wù)器發(fā)現(xiàn)曾有8867個(gè)不同IP地址連接了該服務(wù)器。更嚴(yán)重的是，在剛過去的三周內(nèi)，就有3000個(gè)新IP地址連接了該服務(wù)器。
專家推測(cè)，攻擊者是利用Joomla和WordPress中的漏洞入侵服務(wù)器，并在服務(wù)器上安裝了Mumblehard惡意軟件。
ESET在發(fā)布的報(bào)告中聲稱：
“Mumblehard主要由Perl腳本組成，這些腳本經(jīng)過加密和封裝之后嵌入到了ELF二進(jìn)制文件中。在某些情況下，Perl腳本中包含另一個(gè)ELF可執(zhí)行文件。Perl腳本被封裝在由匯編語言編寫的ELF二進(jìn)制文件中。相比于一般的惡意軟件，Mumblehard更加復(fù)雜。”
在這些惡意軟件活動(dòng)中，專家們分析出兩種不同的惡意活動(dòng)后門。一個(gè)是通用的后門，用來接收C&C服務(wù)器發(fā)送過來的指令;另一個(gè)是垃圾郵件后臺(tái)程序。
此外，專家們發(fā)現(xiàn)Mumblehard惡意軟件與Yellsoft公司有所關(guān)聯(lián)，該公司主要銷售DirecMailer軟件，利用Yellsoft公司的軟件可以發(fā)送大量的電子郵件。同時(shí)，向惡意軟件發(fā)送指令的C&C服務(wù)器IP地址也顯示是在Yellsoft公司的IP地址范圍之內(nèi)。
安全預(yù)防措施
Web服務(wù)器管理員應(yīng)該通過尋找惡意軟件添加的“非必要計(jì)劃條目”來檢測(cè)服務(wù)器是否感染Mumblehard，該條目每十五分鐘就試圖激活一次后門。此外，后門通常安裝在/tmp或/var/tmp目錄下，可以通過noexec選項(xiàng)掛載tmp目錄來撤銷它。
