Rex weboldalakat zároló kártevő

CH azonosító

CH-13510

Angol cím

Rex website ransomware

Felfedezés dátuma

2016.08.18.

Súlyosság

Magas

Érintett rendszerek

Apache Software Foundation
Drupal
Exagrid
Jetspeed
WordPress
airOS

Érintett verziók

-

Összefoglaló

A Rex zsaroló kártevő elsősorban sérülékeny Drupal site-okat céloz, és SQL befecskendezéses támadás során jut be a támadott rendszerbe, majd megváltoztatja az admin hitelesítési adatokat, ezzel zárolva a fiókot.  

Leírás

Az oldal feloldását egy váltságdíj bitcoin-ban való megfizetéséhez köti, az alábbi fizetési felszólítást helyezi el az oldalon:

Website is locked!

Website is locked. Please transfer 1.4 BitCoin to address 

3M6SQh8Q6d2j1B4JRCe2ESRLHT4vTDbSM9 to unlock content.

  • Első lépésben (botnet hálózat részeként) a malware sérülékeny verziójú Drupal (illetve egyéb tartalomkezelő) oldalakat keres.
  • A fertőzés során létrehoz egy alternatív admin fiókot, a korábbit pedig zárolja, valamint elhelyezi a zsaroló üzenetet az oldalon.
  • Majd további botnet hálózatokkal folytat kommunikációt.

A malware jellemzően korábbi, NEM 0-day biztonsági réseket használ ki, Drupal 7-es verziójú site-ok esetében például egy 2014-es sérülékenységet (CVE-2014-3704).

A malware egy további funkciója, a ‘RansomScanner‘, amely elosztott szolgáltatás-megtagadás (DDoS) fenyegetést küld e-mailben az “Armada Collective” csoportra hivatkozva. (Ez a kiberbűnözői csoport 2016 márciusa óta már több pénzintézetet fenyegetett meg elosztott szolgáltatás-megtagadással, azonban a támadás jellemzően elmaradt.)

A Drupal mellett ismert kihasználó kód a következő rendszerek esetében is: WordPress, Magento, Apache Jetspeed, Exagrid, AirOS RCE

Megoldás

Mindig frissítse a használt tartalomkezelőt a legfrissebb elérhető verzióra!


Legfrissebb sérülékenységek
CVE-2023-27394 – Osprey Pump Controller sérülékenysége
CVE-2023-27886 – Osprey Pump Controller sérülékenysége
CVE-2023-1516 – RoboDK sérülékenysége
CVE-2022-3683 – Hitachi Energy’s MicroSCADA System Data Manager SDM600 sérülékenysége
CVE-2022-3682 – Hitachi Energy’s MicroSCADA System Data Manager SDM600 sérülékenysége
CVE-2023-28596 – Zoom Client for IT Admin macOS sérülékenysége
CVE-2023-28650 – SAUTER EY-modulo 5 Building Automation Stations sérülékenysége
CVE-2023-20951 – Google Android, Google Android (12L) sérülékenysége
CVE-2023-20954 – Google Android, Google Android (12L) sérülékenysége
CVE-2023-28303 – Windows képmetsző sérülékenysége
Tovább a sérülékenységekhez »