I ricercatori di ESET hanno pubblicato un rapporto di 43 pagine che analizza il rootkit Ebury e l'attività associata. Si sostiene che Ebury sia in uso dal 2009 ed è stato installato su oltre 400.000 server Linux e su alcune centinaia di sistemi basati su FreeBSD, OpenBSD e Solaris. Circa 110.000 server erano ancora infettati da Ebury alla fine del 2023. Lo studio è di particolare interesse dato che Ebury è stato coinvolto nell'attacco a kernel.org, il che svela alcuni nuovi dettagli sulla compromissione dell'infrastruttura di sviluppo del kernel Linux, identificata nel 2011. Ebury è stato inoltre rinvenuto su server di registrazione domini, exchange di criptovalute, nodi di uscita Tor e presso diversi hosting provider, i cui nomi non vengono rivelati.
Inizialmente si pensava che gli attaccanti server Gli aggressori di kernel.org sono stati non rilevati per 17 giorni, ma secondo ESET, questo lasso di tempo è calcolato a partire dal momento in cui è stato inserito il rootkit Phalanx, mentre il backdoor Ebury era presente sui server dal 2009 e poteva essere utilizzato per ottenere accesso root ai server per quasi due anni. Il malware Ebury e Phalanx è stato installato nell'ambito di diversi attacchi, condotti da gruppi di aggressori distinti e non correlati. L'inserimento del backdoor Ebury ha colpito almeno 4 server nell'infrastruttura di kernel.org, due dei quali sono stati compromessi per circa due anni, mentre gli altri due per un periodo di 6 mesi.
Gli aggressori hanno ottenuto accesso agli hash delle password di 551 utenti memorizzati in /etc/shadow, tra cui tutti i manutentori del kernel (gli account erano utilizzati per l'accesso a Git; dopo l'incidente, le password sono state sostituite e il modello di accesso è stato rivisto e portato all'uso di firme digitali). Per 257 utenti, gli aggressori sono riusciti a determinare le password in chiaro, presumibilmente attraverso il tentativo di indovinare le password dagli hash e tramite l'intercettazione dei componenti malevoli di Ebury delle password utilizzate in SSH.
Il componente dannoso Ebury si diffondeva come una libreria condivisa, che, dopo l'installazione, intercettava le funzioni utilizzate in OpenSSH per stabilire una connessione remota al sistema con diritti di root. L'attacco non era mirato e, come altri migliaia di host compromessi, i server kernel.org venivano utilizzati come parte di un botnet per inviare spam, rubare credenziali per diffonderle su altri sistemi, reindirizzare il traffico web e compiere altre attività dannose.
Per infiltrarsi nei server, sono state sfruttate vulnerabilità non corrette nel software del server, come le vulnerabilità nei pannelli di hosting, o password intercettate (si presume che i server kernel.org siano stati compromessi a causa della violazione della password di uno degli utenti con accesso shell). Per l'escalation dei privilegi sono state utilizzate vulnerabilità come Dirty COW.
Le nuove versioni di Ebury, introdotte negli ultimi anni, oltre al backdoor, hanno incluso funzionalità come moduli per Apache httpd per il proxying del traffico, il reindirizzamento degli utenti e l'intercettazione delle informazioni riservate, un modulo del kernel per modificare il traffico HTTP in transito, strumenti per mascherare il proprio traffico dai firewall, e script per condurre attacchi AitM (Adversary-in-the-Middle, attacco bidirezionale MiTM) per l'intercettazione delle credenziali SSH nelle reti dei fornitori di hosting.
Fonte: opennet.ru
