VoidLink Malware: Ang advanced framework na nagbabanta sa Linux at sa cloud

Ang VoidLink ay naging isa sa mga pangalang gumagawa ng pinakamaraming ingay sa mundo ng Siber sa seguridad ng Linux at ang cloud. Hindi tayo humaharap sa isang simpleng nakakainis na virus, kundi sa isang napaka-advanced na malware framework, na idinisenyo upang pasukin ang mga Linux server na sumusuporta sa mga kritikal na serbisyo, mga containerized application, at karamihan sa cloud infrastructure na pinagbabasehan ng mga kumpanya at pampublikong organisasyon.

Ang banta ay namumukod-tangi dahil tumatama ito mismo sa puso ng modernong imprastraktura.: mga naka-deploy na Linux server sa Amazon Web Services (AWS), Google Cloud Platform (GCP), Microsoft Azure, at iba pang pangunahing provider. Bagama't ang karamihan sa mga malisyosong kampanya ay nakatuon sa kasaysayan WindowsAng VoidLink ay nagmamarka ng isang nakababahalang pagbabago ng trend patungo sa mga cloud-native na kapaligiran at mga sistemang nagpapanatili sa mga bangko, administrasyon, ospital, at lahat ng uri ng online platform na gumagana.

Ano ang VoidLink at bakit ito nagdudulot ng labis na pag-aalala?

Ang VoidLink ay isang modular, cloud-native malware framework na idinisenyo para sa Linux.Natuklasan at sinuri ng pangkat ng Check Point Research ang malisyosong toolkit na ito, ang dibisyon ng threat intelligence ng Check Point Software Technologies. Natukoy ng mga mananaliksik ang toolkit na ito sa pamamagitan ng pagsusuri sa mga sample ng malware na nakaimbak sa [missing website/platform name]. mga databaseAt di nagtagal ay napagtanto nila na hindi lang basta-basta code ang gamit nila.

Sa halip na maging isang programa na may mga nakapirming function, ang VoidLink ay gumagana bilang isang kumpletong ecosystem. ng mga bahagi na maaaring pagsamahin upang umangkop sa bawat layunin. Ang balangkas ay kinabibilangan ng mahigit 30 natatanging modyul, bawat isa ay may mga partikular na kakayahan: mula sa pagmamanman at pangangalap ng impormasyon hanggang sa pagpapataas ng pribilehiyo, paggalaw sa gilid sa loob ng network, at mga advanced na pamamaraan sa stealth.

Ang tunay na nakakabagabag ay ang pilosopiya ng disenyo. Ano ang nasa likod ng malware na ito: ito ay ginawa upang magbigay ng tahimik at patuloy na pangmatagalang access sa mga sistemang Linux na tumatakbo sa mga pampublikong cloud at container environment. Hindi ito idinisenyo para sa mabilis at maingay na pag-atake, kundi para manatiling nakatago, magmanman, gumalaw-galaw, at kumuha ng mahahalagang impormasyon nang hindi nagdudulot ng hinala.

Itinuturo ng mga analyst ng Check Point na ang antas ng pagpaplano, pamumuhunan, at kalidad ng code Ito ay nakapagpapaalala sa gawain ng mga propesyonal na aktor sa pagbabanta, na nauugnay sa mga kampanya sa cyber espionage at mga operasyong may mataas na istruktura. Sa katunayan, ang balangkas ay nasa ilalim pa rin ng aktibong pag-unlad, ibig sabihin ang mga kakayahan nito ay patuloy na lalawak at mapapaganda. oras.

Bagama't wala pang naidokumentong malawakang kampanya ng impeksyon gamit ang VoidLink sa ngayonAng disenyo nito ay nagmumungkahi na halos handa na itong i-deploy sa mga operasyon sa totoong mundo. Maraming eksperto ang sumasang-ayon na kapag ang isang kagamitang may ganitong kalibre ay lumitaw sa mga laboratoryo, kadalasan ay sandali na lamang bago ito magsimulang gamitin sa mga naka-target na pag-atake.

Malware na idinisenyo para sa imprastraktura ng cloud at Linux

Ang VoidLink ay kumakatawan sa isang malinaw na pagbabago mula sa tradisyonal na pokus ng mga umaatakeTinatalikuran nito ang klasikong target ng mga Windows desktop at direktang nakatuon sa layer ng imprastraktura na sumusuporta sa internet at mga serbisyo sa cloud. Ang Linux ang pundasyon ng karamihan sa mga web server, database, microservices platform, at mga kumpol ng Kubernetes, kaya ang anumang banta na partikular na tumatarget sa kapaligirang ito ay maaaring magkaroon ng malaking epekto.

Ang balangkas ay dinisenyo mula pa sa simula upang makipagsabayan sa mga teknolohiyang cloud-native.Makikilala ng VoidLink kung tumatakbo ito sa mga container environment tulad ng Docker o mga orchestrator tulad ng Kubernetes, at maisasaayos ang kilos nito nang naaayon. Nagbibigay-daan ito upang tuluy-tuloy itong maisama sa mga modernong arkitektura, na ginagamit ang pagiging kumplikado at dinamismo ng mga environment na ito upang mas epektibong makihalubilo.

Isa sa mga pinakakapansin-pansing tampok ng VoidLink ay ang kakayahang matukoy ang cloud provider. kung saan naka-host ang nakompromisong makina. Kinukuha ng malware ang metadata ng system sa pamamagitan ng mga API na inilantad ng provider (tulad ng AWS, GCP, Azure, Alibaba Cloud, o Tencent Cloud) at, batay sa kung ano ang natutukoy nito, inaangkop nito ang diskarte sa pag-atake.

Nakakita rin ang mga mananaliksik ng ebidensya na plano ng mga developer ng balangkas na palawakin pa ang suportang ito.pagsasama ng mga partikular na pagtukoy para sa iba pang mga serbisyo tulad ng HUAWEI Cloud, DigitalOcean, o Vultr. Nililinaw ng matibay na oryentasyong ito sa cloud na ang VoidLink ay binuo nang isinasaalang-alang ang isang senaryo kung saan halos lahat ng negosyo ng isang organisasyon ay pinapatakbo sa labas ng sarili nitong mga pasilidad.

Sa pagsasagawa, pinag-uusapan natin ang isang tool na idinisenyo upang gawing isang attack surface ang cloud infrastructure.Sa halip na limitahan ang sarili nito sa pagkompromiso sa iisang server, maaaring gamitin ng malware ang unang entry point na iyon bilang springboard upang galugarin ang buong internal network, tukuyin ang iba pang mga mahina na serbisyo, at palihim na palawakin ang presensya nito.

Modular na arkitektura at mga advanced na kakayahan ng VoidLink

Ang puso ng VoidLink ay ang modular na arkitektura nitoSa halip na i-load ang lahat ng function sa iisang binary, ang framework ay nag-aalok ng mahigit 30 independiyenteng module na maaaring i-activate, i-deactivate, idagdag, o alisin depende sa mga pangangailangan ng mga attacker sa isang partikular na kampanya.

Ang pamamaraang ito ng "Swiss Army knife" ay nagbibigay-daan para sa pinakamataas na pagpapasadya ng mga kakayahan ng malware.Maaaring unang tumuon ang isang operator sa pagmamanman sa imprastraktura, pagkatapos ay i-activate ang mga function sa pagkolekta ng kredensyal, at, kung may matuklasan na mga pagkakataon, simulan ang mga module na nakatuon sa lateral movement o privilege escalation. Ang lahat ng ito ay ginagawa nang may kakayahang umangkop at may kakayahang baguhin ang configuration nang mabilisan.

Saklaw ng mga modyul ang malawak na hanay ng mga gawain: mula sa detalyadong imbentaryo ng sistema (hardware(software, mga tumatakbong serbisyo, mga proseso, koneksyon sa network) sa pagtukoy ng mga tool sa seguridad na nasa makina, na tumutulong sa malware na magdesisyon kung paano kikilos upang maiwasan ang pagtuklas.

Isa sa mga pinakasensitibong elemento ay ang pamamahala ng mga kredensyal at mga sikretoIsinasama ng VoidLink ang mga bahaging may kakayahang mangolekta ng mga susi. SSH nakaimbak sa sistema, mga password na naka-save ng mga browser, mga session cookies, mga token ng pagpapatunayMga API key at iba pang data na nagbibigay-daan sa pag-access sa mga panloob at panlabas na serbisyo nang hindi kinakailangang samantalahin ang mga bagong kahinaan.

Bukod pa rito, ang balangkas ay may kasamang mga functionality na uri ng rootkitAng mga pamamaraang ito ay dinisenyo upang itago ang mga proseso, file, at koneksyon na nauugnay sa malware sa loob ng normal na aktibidad ng system. Pinapayagan nito itong manatiling aktibo sa loob ng matagalang panahon nang hindi madaling matukoy ng mga solusyon sa seguridad o mga administrador.

Hindi lamang nag-eespiya ang VoidLink, pinapadali rin nito ang paggalaw sa gilid sa loob ng nakompromisong networkKapag nasa loob na ng isang server, maaari nitong i-scan ang mga panloob na mapagkukunan, maghanap ng iba pang mga makinang naa-access, suriin ang mga pahintulot, at gamitin ang mga ninakaw na kredensyal upang mapalawak ang kompromiso sa mas maraming node, lalo na sa mga kapaligiran kung saan umiiral ang maraming magkakaugnay na mga instance ng Linux.

Isang umuusbong na ecosystem na may mga API para sa mga malisyosong developer

Isa pang aspeto na ikinababahala ng mga analyst ay ang pagpapakita ng VoidLink hindi lamang bilang malware, kundi bilang isang tunay na extensible framework.Ang natuklasang code ay may kasamang development API na kino-configure habang initialization ng malware sa mga nahawaang computer, na idinisenyo upang mapadali ang paglikha ng mga bagong module o ang pagsasama ng mga karagdagang bahagi ng mga may-akda nito o iba pang mga aktor ng banta.

Ang API na ito ay nagbibigay-daan sa mabilis na pag-unlad ng balangkaspag-aangkop sa mga bagong kapaligiran, mga pamamaraan sa pagtukoy ng depensa, o mga partikular na pangangailangan sa operasyon. Kung magsisimulang harangan ng mga tagapagtanggol ang isang partikular na pattern ng pag-uugali, maaaring baguhin o palitan ng mga umaatake ang mga partikular na module nang hindi kinakailangang muling isulat ang buong malware mula sa simula.

Binigyang-diin ng mga mananaliksik ng Check Point na ang antas ng pagiging sopistikado ng disenyo na ito ay hindi tipikal para sa mga grupong amateur.Ang lahat ay tumutukoy sa isang pangmatagalang planong proyekto, mahusay ang mga mapagkukunan at may malinaw na roadmap, isang bagay na akma sa mga organisasyon ng cyber espionage o mga advanced na organisadong grupo ng krimen na may malalakas na teknikal na kakayahan.

Ang mga pahiwatig na natagpuan sa code ay tumutukoy sa mga developer na may kaugnayan sa ChinaGayunpaman, gaya ng madalas na nangyayari sa ganitong uri ng pagsusuri, ang malinaw na pag-uugnay ng pagiging awtor sa isang partikular na aktor o grupo ng estado ay kumplikado at hindi maaaring ituring na sarado batay lamang sa mga lead na ito. Gayunpaman, ang uri ng mga potensyal na target (kritikal na imprastraktura, mga serbisyo sa cloud, mga kapaligirang may mataas na halaga) ay naaayon sa malawakang operasyon ng paniniktik at pagmamatyag.

Mahalagang bigyang-diin na, ayon sa mga magagamit na datos, wala pa ring pampublikong ebidensya ng mga aktibong kampanyang masa gamit ang VoidLink.Ang toolkit ay natukoy at napag-aralan sa medyo maagang yugto ng lifecycle nito, na nagbibigay ng pagkakataon para sa mga tagapagtanggol at mga nagtitinda ng solusyon sa seguridad na bumuo ng mga panuntunan sa pagtuklas, mga tagapagpahiwatig ng kompromiso, at mga estratehiya sa pagpapagaan bago ito malawakang ipatupad.

Potensyal na epekto sa mga negosyo, pamahalaan, at mahahalagang serbisyo

Ang tunay na panganib ng VoidLink ay hindi limitado sa partikular na server na nagagawa nitong mahawa.Dahil nakatuon ito sa mga cloud environment at mga imprastraktura ng Linux na nagsisilbing gulugod ng mahahalagang serbisyo, ang potensyal na epekto ay sumasaklaw sa buong network ng magkakaugnay na mga sistema, sa parehong pribado at pampublikong sektor.

Sa kasalukuyan, malaking bahagi ng mga kumpanya ang halos buong namamahala sa kanilang negosyo sa cloud.Mula sa mga startup na bumubuo ng kanilang mga aplikasyon sa mga container hanggang sa mga bangko, ospital, at mga ahensya ng gobyerno na nagde-deploy ng kanilang mga kritikal na platform sa AWS, GCP, Azure, o iba pang pangunahing provider, ang paglalaan ng isang Linux server cluster sa mga kapaligirang ito ay epektibong nangangahulugan ng pagkakaroon ng pundasyon sa sensitibong data, mga serbisyong kritikal sa misyon, at mga sensitibong internal na proseso.

Ang VoidLink ay perpektong naaayon sa sitwasyong ito.Matutukoy nito kung saang cloud provider ito naka-host, matukoy kung tumatakbo ito sa isang kumbensyonal na virtual machine o sa loob ng isang container, at pagkatapos ay isaayos ang kilos nito upang makuha ang pinakamataas na benepisyo nang hindi nagtataas ng anumang alarma. Mula sa pananaw ng isang attacker, ito ay isang napaka-flexible na tool para sa pag-navigate sa mga kumplikadong imprastraktura.

Kabilang sa mga aksyon na maaari nitong isagawa ay ang pagsubaybay sa panloob na network at pagkolekta ng impormasyon tungkol sa iba pang mga sistemang naa-access.Ang pagsasama nito sa kakayahang mangolekta ng mga kredensyal at sikreto ay maaaring humantong sa mga kadena ng kompromiso na lumilipat mula sa isang serbisyo patungo sa isa pa, mula sa isang server patungo sa isa pa, na kalaunan ay sumasaklaw sa isang malaking bahagi ng imprastraktura ng isang organisasyon.

Bukod pa rito, sa pamamagitan ng pagtuon sa pangmatagalang pagtitiyaga, ang VoidLink ay partikular na kaakit-akit para sa mga operasyon ng paniniktik.Sa halip na i-encrypt ang data at humingi ng ransom (bilang isang tradisyonal na ransomware), ang ganitong uri ng balangkas ay pinakaangkop para sa mga kampanyang naglalayong makakuha ng estratehikong impormasyon, sumubaybay sa mga komunikasyon, kumuha ng mga kumpidensyal na database, o piling manipulahin ang mga sistema nang hindi natutukoy sa loob ng ilang buwan o kahit na mga taon.

Paano gumagana ang VoidLink sa loob ng mga kapaligirang cloud at Linux

Ang pag-uugali ng VoidLink pagkatapos mahawa ang isang sistema ng Linux ay sumusunod sa isang medyo lohikal na pagkakasunud-sunod na naglalayong mabawasan ang ingay.Pagkatapos tumakbo sa unang pagkakataon, ini-initialize ng malware ang environment nito, kino-configure ang internal API, at nilo-load ang mga module na kinakailangan para sa reconnaissance phase.

Sa unang yugtong ito, ang balangkas ay nakatuon sa pangangalap ng pinakamaraming impormasyon hangga't maaari. tungkol sa nakompromisong sistema: ang ginamit na distribusyon ng Linux, bersyon ng kernel, mga tumatakbong serbisyo, mga bukas na port, naka-install na security software, mga available na network path, at anumang iba pang data na maaaring makatulong sa mga umaatake na bumuo ng detalyadong mapa ng kapaligiran.

Kasabay nito, sinusuri ng VoidLink ang metadata na ibinigay ng cloud provider.Gamit ang mga API na partikular sa platform, tinutukoy ng system kung ang makina ay nasa AWS, GCP, Azure, Alibaba, Tencent, o iba pang mga serbisyo kung saan pinaplano ang suporta sa hinaharap. Tinutukoy ng pagtukoy na ito kung aling mga module ang ia-activate at kung aling mga pamamaraan ang ginagamit upang ilipat o i-eskala ang mga pribilehiyo.

Kapag malinaw na ang larawan ng kapaligiran sa framework, maaari na nitong i-activate ang mga module ng pagpapataas ng pahintulot. mula sa isang user na may kaunting pribilehiyo patungo sa isa na halos may ganap na kontrol sa sistema, sinasamantala ang mahihinang mga configuration, hindi maayos na pinamamahalaang mga kredensyal, o mga kahinaan na partikular sa kapaligiran.

Dahil sa mataas na pribilehiyo, ginagamit ng VoidLink ang mga kakayahan nito sa paggalaw sa gilidKabilang dito ang paggalugad sa panloob na network, pagtatangkang kumonekta sa iba pang mga sistema ng Linux o mahahalagang serbisyo, at paggamit ng mga ninakaw na kredensyal upang ma-access ang mga bagong makina. Nangyayari ang lahat ng ito habang ang mga stealth at rootkit-like na module ay gumagana upang itago ang malisyosong aktibidad sa mga lehitimong proseso.

Sa buong prosesong ito, pinapanatili ng balangkas ang maingat na komunikasyon sa imprastraktura ng command at control ng mga umaatake.pagtanggap ng mga tagubilin kung aling mga modyul ang ia-activate, anong impormasyon ang uunahin, at anong mga hakbang ang susundin. Ang katangiang modular ay nagbibigay-daan pa nga sa pagpapakilala ng mga bagong bahagi nang mabilisan upang iakma ang operasyon sa mga pagbabago sa kapaligiran o mga depensang maaaring makaharap.

Bakit ipinapakita ng VoidLink ang pagbabago ng pokus patungo sa Linux

Sa loob ng maraming taon, ang nangingibabaw na salaysay sa cybersecurity umiikot sa Windowslalo na sa larangan ng ransomware at malware na tumatarget sa mga end user. Gayunpaman, kinukumpirma ng pagkakatuklas sa VoidLink ang isang trend na matagal nang inaasahan ng maraming eksperto: ang pagtaas ng interes ng mga attacker sa Linux at, higit sa lahat, sa mga cloud-native na kapaligiran na nakabatay sa operating system na ito.

Sinusuportahan ng Linux ang malaking bahagi ng internet, mga application server, at imprastraktura ng cloud.Gayunpaman, ayon sa kaugalian, mas kaunti ang nararanasan nitong pressure mula sa malawakang pag-atake ng malware kumpara sa Windows. Hindi ito nangangahulugan na hindi ito tinatablan, kundi mas nakatuon ang mga umaatake sa dami (mga gumagamit ng desktop) kaysa sa kalidad o halaga ng mga target.

Dahil sa pagsasama-sama ng cloud bilang pangunahing plataporma para sa mga negosyo ng mga organisasyon, ang pagiging kaakit-akit ng Linux bilang isang mahalagang target ay tumaas nang husto.Ang VoidLink ay akmang-akma sa bagong senaryo na ito: ito ay dinisenyo upang tumakbo sa mga cluster, container, production server, at mga kapaligiran kung saan ang data at mga serbisyong hinahawakan ay mahalaga para sa operational continuity.

Ang katotohanan na ang ganitong komprehensibong balangkas ay lumilitaw sa panahong ito ay nagpapahiwatig na ang mga aktor na nanganganib ay malinaw na nagpapalawak ng kanilang pokus.hindi lamang para atakehin ang mga nakahiwalay na sistema ng Linux, kundi para gamitin ang mga makinang iyon bilang daan patungo sa buong imprastraktura at mga multi-tenant cloud platform kung saan magkakasamang nagtitipon ang data mula sa maraming organisasyon.

Sa kontekstong ito, hindi na maaaring ituring ng mga security manager ang Linux bilang isang "pangalawang" kapaligiran sa mga tuntunin ng depensa.Sa kabaligtaran, dapat nilang ipagpalagay na ito ay nagiging isa sa mga pangunahing larangan ng digmaan ng modernong cybersecurity, at ang mga banta tulad ng VoidLink ay magiging mas madalas at mas sopistikado.

Mga pangunahing hakbang upang protektahan ang mga sistema ng Linux laban sa VoidLink

Bagama't isang kumplikadong banta ang VoidLink, ang kilos nito ay nag-aalok ng ilang kapaki-pakinabang na pahiwatig Ito ay upang matulungan ang mga administrador ng sistema at mga pangkat ng seguridad na palakasin ang kanilang mga depensa. Hindi ito isang mahiwagang solusyon, kundi isang serye ng mga kasanayan na lubos na nagbabawas sa posibilidad na magtagumpay ang naturang balangkas.

Isa sa mga unang linya ng depensa ay ang pag-awdit ng mga nakalantad na API at serbisyo.Dahil umaasa ang VoidLink sa access sa metadata at mga interface ng pamamahala na ibinibigay ng mga cloud provider, mahalagang suriin kung aling mga endpoint ang maa-access, mula saan, at gamit ang anong mga pahintulot. Ang paglimita sa hindi kinakailangang access at paglalapat ng mahigpit na mga kontrol ay maaaring magpakomplikado sa yugto ng pagtuklas ng malware.

Ang pagpapalakas ng mga kredensyal ay isa pang kritikal na bahagi.Ang mga mahihina, muling ginagamit, o walang proteksyong password ay isang regalo sa sinumang umaatake. Ang pagpapatupad ng matibay na mga patakaran sa password, paggamit ng multi-factor authentication kung saan posible, at wastong pamamahala ng mga SSH key, token, at API key ay nagbabawas sa halaga ng mga module ng koleksyon ng kredensyal ng VoidLink.

Ang patuloy na pagsubaybay sa mga kapaligirang cloud ay pantay na mahalagaDapat magpanatili ang mga organisasyon ng detalyadong mga talaan ng aktibidad, mga alerto para sa mga hindi pangkaraniwang pag-uugali, at mga tool na may kakayahang iugnay ang mga kaganapan sa iba't ibang serbisyo at server. Ang isang balangkas na naglalayong manatiling hindi matukoy sa loob ng mahabang panahon ay nagiging mas mahina kapag mayroong mahusay na kakayahang makita at proaktibong pagsusuri ng aktibidad.

Panghuli, mahalagang maglapat ng mahigpit na mga paghihigpit sa pahintulot sa parehong mga user at container.Ang prinsipyo ng least privilege ang dapat maging pamantayan: ang bawat user, serbisyo, o container ay dapat lamang magkaroon ng mga pahintulot na mahalaga para sa tungkulin nito. Kung ang VoidLink ay magkompromiso kahit sa isang napaka-limitadong hanay ng mga pribilehiyo, ang espasyo nito para sa maniobra ay lubhang mababawasan.

Bukod sa mga hakbang na ito, mahalagang palakasin ang iba pang pangkalahatang kasanayan sa seguridad, tulad ng regular na pagpapanatili ng mga patch ng operating system at application, segmentasyon ng network upang maiwasan ang hindi mapigilang pagkalat ng kompromiso, at ang paggamit ng mga solusyon sa seguridad na partikular na idinisenyo para sa mga kapaligiran ng Linux at cloud na nagsasama ng pag-detect batay sa pag-uugali.

Ang VoidLink ay isang malinaw na senyales kung saan patungo ang pinaka-advanced na malware.Sa pamamagitan ng direktang pag-target sa Linux at mga pangunahing cloud platform, pinipilit ng framework na ito ang mga organisasyon na seryosohin ang proteksyon ng kanilang kritikal na imprastraktura, na higit pa sa tradisyonal na kagamitan ng gumagamit. Kung mas maaga ang pagpapalakas ng mga depensa sa aspetong ito, mas kaunting espasyo ang magagamit ng mga attacker kapag ang mga tool tulad ng framework na ito ay inilipat sa mga totoong kampanya.

Kaugnay na artikulo:

Ang pagpapatupad ng CMOV ni Linus Torvalds ay nagpapabuti sa pagganap at seguridad ng Linux

Isaac

Masigasig na manunulat tungkol sa mundo ng mga byte at teknolohiya sa pangkalahatan. Gustung-gusto kong ibahagi ang aking kaalaman sa pamamagitan ng pagsusulat, at iyon ang gagawin ko sa blog na ito, ipakita sa iyo ang lahat ng mga pinaka-kagiliw-giliw na bagay tungkol sa mga gadget, software, hardware, teknolohikal na uso, at higit pa. Ang layunin ko ay tulungan kang mag-navigate sa digital na mundo sa simple at nakakaaliw na paraan.