Rex weboldalakat zároló kártevő

CH azonosító

Angol cím

Felfedezés dátuma

Súlyosság

Érintett rendszerek

Érintett verziók

-

Összefoglaló

A Rex zsaroló kártevő elsősorban sérülékeny Drupal site-okat céloz, és SQL befecskendezéses támadás során jut be a támadott rendszerbe, majd megváltoztatja az admin hitelesítési adatokat, ezzel zárolva a fiókot.  

Leírás

Az oldal feloldását egy váltságdíj bitcoin-ban való megfizetéséhez köti, az alábbi fizetési felszólítást helyezi el az oldalon:

“Website is locked!

Website is locked. Please transfer 1.4 BitCoin to address 

3M6SQh8Q6d2j1B4JRCe2ESRLHT4vTDbSM9 to unlock content.“

• Első lépésben (botnet hálózat részeként) a malware sérülékeny verziójú Drupal (illetve egyéb tartalomkezelő) oldalakat keres.
• A fertőzés során létrehoz egy alternatív admin fiókot, a korábbit pedig zárolja, valamint elhelyezi a zsaroló üzenetet az oldalon.
• Majd további botnet hálózatokkal folytat kommunikációt.

A malware jellemzően korábbi, NEM 0-day biztonsági réseket használ ki, Drupal 7-es verziójú site-ok esetében például egy 2014-es sérülékenységet (CVE-2014-3704).

A malware egy további funkciója, a ‘RansomScanner‘, amely elosztott szolgáltatás-megtagadás (DDoS) fenyegetést küld e-mailben az “Armada Collective” csoportra hivatkozva. (Ez a kiberbűnözői csoport 2016 márciusa óta már több pénzintézetet fenyegetett meg elosztott szolgáltatás-megtagadással, azonban a támadás jellemzően elmaradt.)

A Drupal mellett ismert kihasználó kód a következő rendszerek esetében is: WordPress, Magento, Apache Jetspeed, Exagrid, AirOS RCE

Megoldás

Mindig frissítse a használt tartalomkezelőt a legfrissebb elérhető verzióra!

Támadás típusa

Hatás

Szükséges hozzáférés

Hivatkozások

Egyéb referencia: thisissecurity.net
Egyéb referencia: news.softpedia.com
Egyéb referencia: tech.cert-hungary.hu
Egyéb referencia: tech.cert-hungary.hu
CVE-2014-3704 - NVD CVE-2014-3704
CVE-2016-0710 - NVD CVE-2016-0710
CVE-2016-1560 - NVD CVE-2016-1560