由于Linux經(jīng)常用作云服務、虛擬機主機和基于容器的基礎(chǔ)設(shè)施等，攻擊者開始使用日益復雜的漏洞利用工具和惡意軟件攻擊Linux環(huán)境。VMware日前發(fā)布了《揭露基于Linux多云環(huán)境中的惡意軟件》研究報告(以下簡稱“報告”)，報告數(shù)據(jù)顯示：以勒索軟件、加密貨幣劫持和滲透測試工具破解版為代表的惡意軟件，開始越來越多地攻擊多云基礎(chǔ)設(shè)施中的Linux系統(tǒng)及應用。
VMware威脅分析部門(TAU)小組負責人Brian Baskin表示，雖然攻擊者目前還不會大規(guī)模將攻擊重點目標從Windows轉(zhuǎn)移到Linux，但活動頻繁程度明顯提升，這表明他們也開始盯上了Linux，企業(yè)組織需要提前防范這種威脅。
Brian Baskin解釋說：“大多數(shù)攻擊研究側(cè)重于Windows方面，但我們現(xiàn)在看到針對Linux的攻擊有所增加，尤其是針對多云基礎(chǔ)設(shè)施的攻擊。我們看到的大多數(shù)情況都涉及虛擬機管理層面的錯誤配置，或者服務器層面的共享帳戶、共享密碼以及配置不當?shù)幕诮巧脑L問控制�！�
據(jù)介紹，針對Linux系統(tǒng)的初始攻擊通常不是通過利用漏洞，而是通過盜竊登錄信息來實現(xiàn)。VMware威脅情報高級主管Giovanni Vigna表示，雖然遠程代碼執(zhí)行是闖入這類系統(tǒng)的第二大方式(比如利用盛行的Log4j漏洞)，但被盜用的身份信息常常讓攻擊者有更多的時間在受害企業(yè)的網(wǎng)絡(luò)系統(tǒng)內(nèi)部進行探測�！澳壳翱吹降闹饕裘嫒匀皇潜槐I的登錄信息，對攻擊者而言其優(yōu)點是，受害者需要更長的時間才能明白攻擊已發(fā)生。因為登錄看起來絕對正常，實際上攻擊者已訪問資源，但直到事情開始朝嚴重的方向發(fā)展，才真正識別泄密事件�！�
研究發(fā)現(xiàn)，如今已出現(xiàn)了多種基于Linux的惡意軟件。從勒索軟件到加密貨幣礦工，再到遠程訪問管理軟件的植入體(比如Cobalt Strike)，攻擊者已開發(fā)出一大批工具來破壞受感染的 Linux系統(tǒng)，并從中非法獲益。報告指出：“勒索軟件最近有了長足發(fā)展，可以攻擊用于在虛擬化環(huán)境中啟動工作負載的Linux主機鏡像。這個令人擔憂的新動向表明，攻擊者如何在云環(huán)境中尋找最有價值的資產(chǎn)，以便對攻擊目標造成最大的損害�！�
美國網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局(CISA)及其國際合作伙伴在2月9日針對特定勒索軟件威脅的公告中也做出特別提醒：2021年網(wǎng)絡(luò)安全最顯著的變化之一，就是攻擊者針對云基礎(chǔ)設(shè)施發(fā)動更具破壞力的攻擊。這份預警公告稱：“勒索軟件攻擊者對云基礎(chǔ)設(shè)施下手，利用云應用程序、虛擬機軟件和虛擬機編排軟件中的已知漏洞實施攻擊活動。勒索軟件威脅分子還對云帳戶、云應用編程接口(API)以及數(shù)據(jù)備份和存儲系統(tǒng)進行攻擊，阻止用戶訪問云資源，并加密數(shù)據(jù)�！�
需要特別重視的是，攻擊者還開始使用更先進的工具來管理針對Linux基礎(chǔ)設(shè)施發(fā)動的攻擊。VMware的報告指出，Cobalt Strike是紅隊和滲透測試人員經(jīng)常使用的面向Windows的攻擊管理系統(tǒng)，但攻擊者現(xiàn)在開始用它來攻擊Linux。VMware目前監(jiān)測了14000臺使用Cobalt Strike的服務器，具體方法是從登臺服務器下載植入體，然后解構(gòu)文件中的信息，以收集更具體的信息。調(diào)查小組發(fā)現(xiàn)，Cobalt Strike程序中六分之一版本的客戶ID為0，這表明是試用版，但這些很可能已被破解。另外四個自定義ID占剩余Cobalt Strike服務器的近40%，這表明這些服務器上的保護機制也遭到了破壞。
經(jīng)營性網(wǎng)站備案信息
可信網(wǎng)站信用評價
網(wǎng)絡(luò)警察提醒您
誠信網(wǎng)站
中國互聯(lián)網(wǎng)舉報中心
網(wǎng)絡(luò)舉報APP下載
