Новость

Анализ вредоносного кода в бэкдоре XZ Utils - как хакеры эксплуатируют популярный архиватор для атак

Анализ вредоносного кода в бэкдоре XZ Utils - как хакеры эксплуатируют популярный архиватор для атак

Citizen Sec

@CitizenSec , 16-07-2024

Новость
#Информационная безопасность
#Критическая уязвимость
Анализ вредоносного кода в бэкдоре XZ Utils - как хакеры эксплуатируют популярный архиватор для атак

В конце марта в популярной библиотеке XZ Utils был обнаружен бэкдор, который получил идентификатор CVE-2024-3094. Вредоносный код был внедрён в версии утилиты 5.6.0 и 5.6.1, что привело к серьёзной уязвимости цепочек поставок программного обеспечения.


Злоумышленником, стоящим за этой атакой, оказался хакер (или даже группа хакеров) под псевдонимом Цзя Тан. Этот инцидент сразу привлёк внимание специалистов по безопасности, так как бэкдор позволял удалённо выполнять код на скомпрометированных серверах, обходя аутентификацию в OpenSSH, пишет Securitylab.


«Лаборатория Касперского» проводит подробный анализ этого бэкдора и недавно опубликовала уже третью часть своего отчёта. Эксперты исследовали различные аспекты работы вредоносного кода, выявив множество уникальных функций и техник, использованных злоумышленниками.


Специалисты выявили следующие особенности бэкдора, внедрённого в XZ Utils:Основной целью бэкдора являются функции «RSA_public_decrypt» и «RSA_get0_key», используемые при аутентификации с RSA-сертификатом. Бэкдор анализирует RSA-ключ, извлекает информацию из его частей и выполняет свою полезную нагрузку, что позволяет злоумышленникам получить доступ к зашифрованным данным и выполнять свои команды.Кроме того, злоумышленники применили уникальную технику для восстановления ключей, скрытых в бинарном коде. Алгоритм восстановления сканирует определённые функции бэкдора в поисках инструкций «регистр-регистр», каждая из которых восстанавливает определённую часть зашифрованного ключа.


«Всего в ходе выполнения бинарного кода обрабатывается 456 инструкций, и к концу этого процесса зашифрованный открытый ключ восстанавливается целиком», — отмечают эксперты. Бэкдор предоставляет злоумышленникам возможность входить на сервер под любым пользователем, выполнять системные команды через функцию «system» и завершать сеанс предварительной аутентификации. Команды активируют вход атакующего на SSH-сервер, даже если использование конкретных пользователей запрещено настройками сервера. Также бэкдор использует хэш SHA-256 открытого ключа сервера для создания и проверки подписи полезной нагрузки, что предотвращает атаки повторного воспроизведения. Это дополнительный шаг, который защищает данные от повторного использования на других серверах. Анализ «Лаборатории Касперского» показал, что бэкдор XZ является сложной угрозой с уникальными техниками сокрытия и выполнения команд.


Хотя инцидент с бэкдором в XZ Utils выявил серьёзную уязвимость в цепочках поставок программного обеспечения, быстрое обнаружение и устранение данной угрозы демонстрирует осмотрительность сообщества разработчиков. Это внушает оптимизм и подчёркивает важность постоянной бдительности в сфере кибербезопасности для защиты критически важных систем.

Вам также будет интересно

Новость
#Информационная безопасность

Вредоносные пакеты npm заражают разработчиков SSH-бэкдором

В npm обнаружены вредоносные пакеты, маскирующиеся под популярный пакет ethers.

@CitizenSec

28-10-2024
Новость
#Информационная безопасность

Новая атака позволяет хакерам откатывать Windows для взлома через закрытые уязвимости

Опубликована новая атака под названием 'Windows Downdate', которая позволяет взламывать Windows 11, понизив версию системных компонентов и используя старые уязвимости.

@CitizenSec

26-10-2024
Новость
#Информационная безопасность

Интернет-архив снова взломан

Интернет-архив (Archive.org) столкнулся со второй утечкой данных в октябре 2024 года, когда хакеры получили доступ к служебным билетам через незащищенные токены API Zendesk.

@CitizenSec

22-10-2024
Новость
#Информационная безопасность

Троян TrickMo: как фишинг атакует ваши телефоны и что вам нужно знать, чтобы защитить себя от этой угрозы?

Этот вредоносный софт использует хитрые методы, чтобы обмануть пользователей, показывая поддельный экран разблокировки.

@CitizenSec

20-10-2024
Новость
#Информационная безопасность

Как системные утилиты Windows становятся инструментом обхода защиты и угрожают вашей безопасности

Злоумышленники начали свои атаки в начале октября, и их целью является установка программы Lumma для кражи данных.

@CitizenSec

17-10-2024
Новость
#Информационная безопасность

Как GitHub, Telegram-боты и QR-коды становятся орудиями новой волны фишинговых атак

Злоумышленники используют ссылки на GitHub в фишинговых письмах, чтобы обойти меры безопасности и доставить вредоносное ПО под названием Remcos RAT.

@CitizenSec

14-10-2024
Новость
#Информационная безопасность

В Санкт-Петербурге пойманы мошенники: как они украли аккаунты и что за этим последовало?

Сотрудники уголовного розыска Петербурга задержали двух злоумышленников, которые взламывали учетные записи на портале Госуслуг и оформляли кредиты в микрофинансовых организациях.

@CitizenSec

14-10-2024
Новость
#Информационная безопасность

22 000 пакетов PyPI под угрозой: как проблема Revival Hijack может повлиять на безопасность вашего кода

Аналитики компании JFrog обнаружили новую угрозу, названную Revival Hijack.

@CitizenSec

18-09-2024
Новость
#Информационная безопасность

Казахстан в тройке лидеров дарквеба СНГ: что скрывается за завесой тайны и какие товары продаются в тени?

Недавнее исследование показало, что Республика Казахстан занимает второе место по количеству кибератак в странах СНГ, с 8% от общего числа.

@CitizenSec

16-09-2024
Новость
#Критическая уязвимость
#Информационная безопасность

Уязвимость Microsoft Copilot Studio

Эта уязвимость, известная как SSRF (server-side request forgery), могла позволить злоумышленникам получить доступ к конфиденциальным данным.

@CitizenSec

09-09-2024