Operation Windigo

Più di 500.000 computer e 25.000 server compromessi, incluso il server di kernel.org, e oltre 700 server ancora infetti in questo momento.

Sono alcuni dei numeri di un rapporto pubblicato da ESET (PDF) sull’operazione Windigo, un’azione su larga scala che ha interessato piattaforme di ogni tipo.

Questa è più o meno la scansione degli eventi:

• agosto 2011: il server di kernel.org viene compromesso (tornerà online in ottobre);
• novembre 2011: Steinar Gunderson pubblica la prima analisi tecnica di Linux/Ebury, un trojan che colpisce i server ssh;
• febbraio 2013: cPanel denuncia che alcuni suoi server sono stati infettati da Linux/Ebury; il CERT tedesco inizia ad avvertire alcune vittime del medesimo trojan;
• aprile 2013: Sucuri pubblica la prima analisi tecnica di Linux/Cdorked, una backdoor che colpisce Apache, Nginx e lighttpd;
• giugno 2013: viene trovato un nesso tra Linux/Ebury e Linux/Cdorked; l’analisi di frammenti di traffico rivela che Linux/Ebury ha infettato oltre 7.500 server;
• luglio 2013: viene scoperto Perl/Calfbot, legato ai due malware di cui sopra;
• settembre 2013: l’analisi del traffico rivela che Linux/Cdorked genera oltre un milione di ridirezioni in due giorni;
• ottobre 2013: l’analisi del traffico rivela che oltre 12.000 server sono infettati da Linux/Ebury;
• gennaio 2014: l’analisi del traffico di un C&C di Perl/Calfbot rivela che il bot genera 35 milioni di messaggi al giorno.

Linux/Ebury è strutturato in modo da colpire il più grande numero di piattaforme possibile attraverso il furto delle credenziali di accesso, indipendentemente dalla loro complessità e lunghezza. Il risultato è che sono state interessate tutte le piattaforme *NIX: Linux (comprese le architetture ARM), FreeBSD,OpenBSD, Apple OS X. Una volta che Linux/Ebury installa la backdoor in ssh, questa rimane attiva anche se le credenziali di accesso vengono modificate. Perl/Calfbot ha infettato i medesimi sistemi vittime di Linux/Ebury e i Windows con Cygwin installato.

Questa command line permette di verificare se il proprio sistema è infettato da Linux/Ebury:

ssh -G 2>&1 | grep -e illegal -e unknown > /dev/null && echo "Pulito" || echo "Infetto"

Bisogna evidenziare che, una volta rubate le credenziali di accesso, i sistemi Linux sono stati compromessi solamente attraverso quel canale e non è stata sfruttata alcuna vulnerabilità. Ciò porta alla conclusione che via ssh l’unico metodo di autenticazione che è inattaccabile dalla versione di Linux/Ebury nota sia lo scambio di chiavi. Tuttavia, se un sistema viene compromesso da Linux/Ebury e da questo ci si collega ad un altro sistema utilizzando lo scambio di chiavi, il trojan è in grado di catturare la chiave, anche se questa è protetta da password, in quanto viene catturata anche la password.

Questo è un altro esempio lampante di come non esistano sistemi operativi inattaccabili dal malware: queste considerazioni lasciamole ai fanatici e tifosi (e non mi sto riferendo solo ad un sistema operativo). La realtà dei fatti impone a tutti i SysAdmin di aprire gli occhi, ingurgitare la pillola rossa e darsi da fare per evitare che i loro sistemi facciano danno. (via The Hacker News)