Kāds drošības pētnieks ir atklājis virkni inficētu Linux serveru, kas ir apvienoti savdabīgā botu tīklā un tiek izmantoti, lai slepus piegādātu kaitīgo programmatūru interneta lietotājiem, ziņo The Register.
Visi līdz šim konstatētie inficētie serveri ir izdalītie vai virtuāli izdalītie serveri, kas mitina likumīgu tīmekļa vietni, The Register stāsta Deniss Siņegubko, neatkarīgais pētnieks no Magņitogorskas Krievijā. Bet tie ir uzlauzti, un līdz ar Apache tīmekļa serveri, kas mitina likumīgo saturu, tajos darbojas otrs tīmekļa serveris, kas pazīstams ar nosaukumu nginx, un tas mitina kaitīgās programmas.“Šeit mums ir darīšana ar “zombētu” tīmekļa serveru botu tīklu, kura parādīšanās jau sen tika prognozēta! Tā ir savstarpēji saistītu un inficētu tīmekļa serveru grupa ar kopīgu vadības centru, un tā nodarbojas ar kaitīgo programmu izplatīšanu,” saka Siņegubko. “Turklāt tīmekļa serveru botu tīkls ir saistīts ar inficētu mājas datoru botu tīklu.”

Atklājums liecina, ka botu tīklu uzturētāji un vadītāji pastāvīgi meklē jaunus veidus, kā dot komandas simt tūkstošiem inficēto jeb “zombēto” datoru, kurus viņi kontrolē. Inficētie datori, ko atradis Siņegubko, padod likumīgu datu plūsmu no standarta TCP porta 80, ko parasti izmanto tīmekļa vietnes. Bet tikmēr no porta 8080 slepus darbojas cits serveris, kas sūta kaitīgo trafiku. Kaitīgos datus tālāk piegādā, izmantojot dinamisko DNS mitināšanas pakalpojumu sniedzējus, kuri piedāvā bezmaksas domēnu vārdus, kas tiek piešķirti “zombēto” tīmekļa servera IP adresēm.
Šīs hipersaites ir apmēram tādas:
“Ir izdevīgāk, ja “zombēti” ir gan klienti, gan serveri,” raksta Siņegubko. “Neviendabīgā sistēmā ir daudz vairāk iespēju, šāda sistēma ir elastīgāka.”
Nav skaidrs, kādā veidā izdevies inficēt serverus. Siņegubko izvirza pieņēmumu, ka šiem serveriem varbūt ir bezrūpīgi administratori, kas pieļāvuši galvenās paroles nozagšanu. Daļā daudzpakāpju uzbrukumu, kuru nolūks ir ļaunprātīgu iframe ievietošana likumīgās tīmekļa lapās, tiešām izmanto FTP paroles, kas nozagtas, izmantojot paroles okšķerus. Iespējams, ka “zombēto” serveru inficēšanai izmantots tas pats paņēmiens, paskaidro Siņegubko.

Inficēto serveru tīkls nav īpaši liels, tajā ir tikai aptuveni 100 mezglu, tāpēc nav īsti skaidrs, kādi ir uzbrucēju nolūki. Siņegubko norāda, ka visos viņa pārbaudītajos datoros darbojas Apache tīmekļa serveris dažādās Linux operētājsistēmās.

“Iespējams, ka hakeriem tas ir sava veida proof-of-concept (konceptuālais kods). Vai arī viņiem rezervē ir vēl daudz citu uzlauztu serveru, kas gaida savu kārtu.” Siņegubko saka, ka līdz šim divi dinamisko mitināšanas pakalpojumu sniedzēji, DynDNS.com un No-IP.com, ko izmanto uzbrucēji, esot reaģējuši ļoti operatīvi un slēguši domēnus, kas izmantoti uzbrukumu veikšanai. Taču viņš norāda, ka ik stundu atklāj vienu vai divas jaunas IP adreses, tāpēc šī lieta vēl nebūt nav galā.

TVNET.LV