Rex weboldalakat zároló kártevő

2016. augusztus 19. 15:24

CH azonosító

CH-13510

Angol cím

Rex website ransomware

Felfedezés dátuma

2016.08.18.

Súlyosság

Magas

Érintett rendszerek

Apache Software Foundation
Drupal
Exagrid
Jetspeed
WordPress
airOS

Érintett verziók

Összefoglaló

A Rex zsaroló kártevő elsősorban sérülékeny Drupal site-okat céloz, és SQL befecskendezéses támadás során jut be a támadott rendszerbe, majd megváltoztatja az admin hitelesítési adatokat, ezzel zárolva a fiókot.

Leírás

Az oldal feloldását egy váltságdíj bitcoin-ban való megfizetéséhez köti, az alábbi fizetési felszólítást helyezi el az oldalon:

“Website is locked!

Website is locked. Please transfer 1.4 BitCoin to address

3M6SQh8Q6d2j1B4JRCe2ESRLHT4vTDbSM9 to unlock content.“

Első lépésben (botnet hálózat részeként) a malware sérülékeny verziójú Drupal (illetve egyéb tartalomkezelő) oldalakat keres.
A fertőzés során létrehoz egy alternatív admin fiókot, a korábbit pedig zárolja, valamint elhelyezi a zsaroló üzenetet az oldalon.
Majd további botnet hálózatokkal folytat kommunikációt.

A malware jellemzően korábbi, NEM 0-day biztonsági réseket használ ki, Drupal 7-es verziójú site-ok esetében például egy 2014-es sérülékenységet (CVE-2014-3704).

A malware egy további funkciója, a ‘RansomScanner‘, amely elosztott szolgáltatás-megtagadás (DDoS) fenyegetést küld e-mailben az “Armada Collective” csoportra hivatkozva. (Ez a kiberbűnözői csoport 2016 márciusa óta már több pénzintézetet fenyegetett meg elosztott szolgáltatás-megtagadással, azonban a támadás jellemzően elmaradt.)

A Drupal mellett ismert kihasználó kód a következő rendszerek esetében is: WordPress, Magento, Apache Jetspeed, Exagrid, AirOS RCE