I ricercatori della ESET hanno pubblicato un rapporto di 43 pagine con l'analisi del rootkit Ebury e dell'attività ad esso correlata. Si sostiene che Ebury sia in uso dal 2009 e da allora sia stato installato su oltre 400.000 server che utilizzano Linux e su alcune centinaia di sistemi basati su FreeBSD, OpenBSD e Solaris. Circa 110.000 server erano ancora infetti da Ebury alla fine del 2023. Lo studio rappresenta un particolare interesse, considerando che Ebury è stato coinvolto nell'attacco a kernel.org, il che fornisce nuovi dettagli sulla compromissione dell'infrastruttura di sviluppo del kernel Linux, rivelata nel 2011. Ebury è stato inoltre riscontrato su server di registrar di domini, exchange di criptovalute, nodi di uscita di Tor e su diversi fornitori di hosting, i cui nomi non vengono forniti.
Inizialmente si presumeva che i criminali informatici che hanno attaccato servers kernel.org fossero rimasti inosservati per 17 giorni, ma secondo ESET questo periodo è calcolato dall'installazione del rootkit Phalanx, mentre il backdoor Ebury era presente sui server dal 2009 e per circa due anni potrebbe essere stato utilizzato per ottenere accesso root ai server. Il malware Ebury e Phalanx è stato installato nell'ambito di attacchi distinti, non sovrapposti e condotti da diversi gruppi di criminali informatici. L'introduzione del backdoor Ebury ha interessato almeno 4 server nell'infrastruttura kernel.org, di cui due sono stati compromessi per circa due anni e gli altri due per sei mesi.
Gli attaccanti hanno avuto accesso agli hash delle password di 551 utenti memorizzati in /etc/shadow, tra cui tutti i manutentori del kernel (gli account venivano utilizzati per accedere a Git; dopo l'incidente le password sono state sostituite e il modello di accesso è stato rivisto e portato all'uso di firme digitali). Per 257 utenti, gli attaccanti sono riusciti a determinare le password in chiaro, presumibilmente attraverso il ripristino delle password dagli hash e mediante l'intercettazione da parte del componente dannoso Ebury delle password utilizzate in SSH.
Il componente malevolo Ebury si è diffuso come libreria condivisa, che, dopo l'installazione, intercettava le funzioni utilizzate in OpenSSH per stabilire una connessione remota al sistema con diritti di root. L'attacco non era mirato e, come altri mille host compromessi, i server kernel.org venivano utilizzati come parte di un botnet per l'invio di spam, il furto di credenziali per la diffusione su altri sistemi, il reindirizzamento del traffico web e la realizzazione di altre attività dannose.
Per infiltrarsi nei server sono state utilizzate vulnerabilità non corrette nel software del server, ad esempio, vulnerabilità nei pannelli di hosting, o password intercettate (si presume che i server kernel.org siano stati compromessi a causa della compromissione della password di uno degli utenti con accesso shell). Per elevare i privilegi sono state impiegate vulnerabilità come Dirty COW.
Le nuove versioni di Ebury degli ultimi anni, oltre al backdoor, includevano funzionalità come moduli per Apache httpd per la proxy del traffico, il reindirizzamento degli utenti e l'intercettazione di informazioni riservate, un modulo kernel per modificare il traffico HTTP in transito, strumenti per nascondere il proprio traffico dai firewall, script per condurre attacchi AitM (Adversary-in-the-Middle, MiTM bidirezionale) per l'intercettazione delle credenziali SSH nelle reti dei fornitori di hosting.
Fonte: opennet.ru
