Shares

În acest material o să discutăm despre Koske, o nouă amenințare cibernetică, de această dată un malware pentru Linux, care folosește o metodă neobișnuită de atac. Metaforic, ursul panda atacă supremația pinguinului.

Koske este un malware sofisticat care pare să fi fost dezvoltat cu ajutorul inteligenței artificiale. Acesta se folosește de imagini JPEG aparent inofensive cu urși panda pentru a injecta cod malițios direct în memoria sistemului.

Scopul principal?

Instalarea unor mineri de criptomonede optimizați pentru CPU și GPU, care exploatează resursele hardware ale gazdei pentru a mina peste 18 criptomonede, inclusiv Monero, Ravencoin și Zano.

Cum funcționează Koske

Accesul inițial se realizează prin exploatarea unor instanțe JupyterLab configurate greșit și expuse online. După compromitere, malware-ul descarcă două imagini JPEG cu panda găzduite pe platforme legitime (precum OVH sau postimage). Aceste fișiere sunt construite ca fișiere poliglot, care pot fi interpretate atât ca imagini, cât și ca scripturi shell – în funcție de aplicația care le procesează.

Imaginile conțin anteturi valide JPEG, dar și cod shell și C adăugat la finalul fișierelor. Astfel, un utilizator vede doar o imagine, însă un interpretator de scripturi va executa codul malițios ascuns.

Atacul se desfășoară în două faze paralele:

  • Un fișier C este scris direct în memorie, compilat și rulat ca un fișier .so, acționând ca un rootkit. Acesta folosește LD_PRELOAD pentru a suprascrie funcții critice precum readdir(), ascunzând procese, fișiere și directoare legate de malware.
  • Un script shell, de asemenea rulat din memorie, folosește utilitare standard pentru a asigura persistența prin cron și systemd, efectuând și acțiuni de evaziune precum:
    • suprascrierea fișierului /etc/resolv.conf cu DNS-uri Cloudflare și Google, blocând modificarea cu chattr +i
    • golirea regulilor iptables
    • resetarea variabilelor proxy
    • căutarea de proxy-uri funcționale prin curl, wget și conexiuni TCP brute-force.

După stabilirea persistenței, malware-ul descarcă minerii dintr-un repository GitHub, alegând varianta optimă în funcție de hardware-ul gazdei.

Nivelul ridicat de adaptabilitate și automatizare, precum și modul în care este compilat și ascuns rootkit-ul, i-au determinat pe cercetători să creadă că Koske ar fi fost dezvoltat folosind modele de limbaj mari (LLMs) sau platforme de automatizare avansate.

De ce vizează Koske serverele Linux

Atacurile vizează în principal servere Linux, pentru că acestea rulează non-stop și dispun de resurse hardware considerabile, ideale pentru activități precum minarea criptomonedelor. Mai mult, multe instanțe sunt slab protejate, cu porturi și servicii expuse public din neglijență sau lipsă de configurare adecvată.

Distribuții precum AlmaLinux, Rocky Linux, Debian și Ubuntu Server sunt adesea folosite în medii enterprise, dar nu beneficiază întotdeauna de mecanisme solide de detecție a malware-ului, mai ales dacă administratorii presupun în mod eronat că Linux este „imun”.

Este necesar un antivirus pe Linux?

Deși mulți consideră că Linux este mai sigur decât alte sisteme de operare, atacuri precum Koske arată clar că acest mit trebuie reevaluat. Atunci când serverele sunt conectate la internet, găzduiesc date sensibile sau rulează servicii critice, iar implementarea unui antivirus pentru Linux nu mai este o opțiune, ci o necesitate.

Cum protejăm serverele Linux ale companiei

Pentru a minimiza riscurile asociate cu astfel de amenințări, companiile ar trebui să adopte măsuri tehnice și organizatorice clare, precum:

  • Actualizări regulate (patching) – toate sistemele și aplicațiile trebuie să fie la zi cu ultimele patch-uri de securitate.
  • Firewall hardware dedicat – filtrează traficul la nivel fizic înainte ca acesta să ajungă în rețea.
  • Acces prin VPN – interzicerea accesului direct la servere din exterior și obligativitatea conectării prin VPN securizat.
  • Antivirus pentru Linux – detectarea comportamentului anormal și monitorizarea proceselor este esențială în fața malware-ului modern.
  • Limitarea suprafeței de atac – dezactivarea serviciilor și porturilor inutile, utilizarea cheilor SSH și autentificare multifactor.
  • Monitorizare activă și auditare – logurile trebuie verificate regulat, iar comportamentul rețelei monitorizat constant.

Concluzie

Koske este un exemplu clar de malware modern, construit inteligent pentru a evita detecția și a exploata resursele serverelor Linux.

Chiar dacă Linux rămâne un sistem de operare stabil și sigur, protecția eficientă împotriva amenințărilor actuale necesită o abordare activă, actualizări constante și măsuri suplimentare de securitate, inclusiv soluții antivirus dedicate.

Dacă aveți nevoie de ajutor pentru securizarea infrastructurii companiei, vă stăm la dispoziție.

Zemernett este o companie de externalizare IT care reușește cu succes atât să susțină buna funcționare a infrastructurilor, cât și să implementeze soluții tehnice moderne, punând activ umărul la dezvoltarea IT a companiilor client.

Shares