Biến thể của botnet Srv đang nhắm mục tiêu vào các máy chủ Windows và Linux để lây nhiễm mã độc

Microsoft đang cảnh báo về một biến thể mới của botnet srv đang khai thác các lỗ hổng bảo mật trong các ứng dụng web và cơ sở dữ liệu để cài đặt các công cụ khai thác tiền điện tử trên cả hệ thống Windows và Linux.

Biến thể mới được gọi là Sysrv-K, được cho là đang lạm dụng một loạt các khai thác để giành quyền kiểm soát các máy chủ web. Mạng botnet khai thác tiền điện tử được phát hiện lần đầu vào tháng 12 năm 2020.

Microsoft cho biết "Sysrv-K đang dò quét internet để tìm các máy chủ web có nhiều lỗ hổng, bao gồm các lỗ hổng tiết lộ thông tin như path traversal, remote file disclosure cho đến các lỗ hổng tải tệp tùy ý và thực thi mã từ xa, để cài cắm mã độc".

Cũng bị lạm dụng khai thác là CVE-2022-22947 (điểm CVSS: 10.0)-lỗ hổng code injection trong Spring Cloud Gateway, cho phép kẻ tấn công thực thi mã tùy ý trên máy chủ bị ảnh hưởng.

Cơ quan An ninh mạng (CISA) của Mỹ đã thêm CVE-2022-22947 vào Danh sách các lỗ hổng được khai thác đã biết.

Điểm khác biệt chính là Sysrv-K tìm kiếm trong các tệp cấu hình WordPress và các bản sao lưu của chúng để tìm thông tin đăng nhập cơ sở dữ liệu, sau đó sử dụng để chiếm quyền điều khiển các máy chủ web.

Sau khi được lây nhiễm, mã độc lợi dụng các SSH keys có sẵn trên máy nạn nhân để triển khai các bản sao của nó sang các hệ thống khác và mở rộng quy mô của mạng botnet.

Năm ngoái, các nhà nghiên cứu của Lacework Labs cũng đã cảnh báo "mã độc Sysrv đã lợi dụng các lỗ hổng đã biết để phát tán phần mềm độc hại Cryptojacking”. “Đảm bảo các ứng dụng công khai luôn được cập nhật các bản vá bảo mật mới nhất là việc rất quan trọng để tránh những kẻ tấn công xâm phạm hệ thống của bạn”.

Microsoft cũng khuyến nghị các tổ chức áp dụng các bản cập nhật bảo mật kịp thời và triển khai các biện pháp bảo vệ thông tin xác thực để giảm thiểu các rủi ro.

Nguồn: thehackernews.com