سرورهای لینوکس و FreeBSD، هدف حمله Mayhem

حملات Mayhem به منظور ایجاد باتنت توسط سیستم های لینوکس و FreeBSD است و برای این منظور، بدافزار حتی نیازی به دسترسی ادمین، در این سیستم ها ندارد. هدف این بدافزار سیستم هایی است که آخرین وصله های امنیتی بر روی آن ها نصب نیست و یا سیستم هایی که تمایلی به نصب نرم افزارهای امنیتی ندارند.

تا کنون این بدافزار بیش از 1400 سرور لینوکس و FreeBSD در سراسر جهان را آلوده ساخته است و هنوز هم سیستم های بیشتری در خطر است. بیش تر سیستم های آلوده در آمریکا، روسیه، آلمان و کانادا قرار دارند.

نکته قابل توجه در این بدافزار اجرا شدن بدون داشتن دسترسی ادمین است. همچنین حملات مخرب از طریق اسکریپت های پیچیده PHP انجام می شود که برای شناسایی توسط آنتی ویروس ها بسیار مشکل است.

با وصل شدن این بدافزار به سرور C&C، پلاگین های بیشتری نیز می تواند به بدافزار، اضافه شود. تا کنون هشت پلاگین برای توسعه این بدافزار شناخته شده است که در زیر ویژگی های آنان را بررسی می کنیم:

rfiscan.so : جست وجوی سایت هایی که دارای آسیب پذیری remote file inclusion هستند. این آسیب پذیری باعث می شود تا هکر از طریق کدهای اسکریپت، فایل های مخرب را از راه دور، وارد وب سرور کند.

wpenum.so: جست وجوی اطلاعات کاربران و سایت های وردپرس

cmsurls.so: شناسایی صفحه لاگین کاربران در سایت های وردپرس

bruteforce.so: حملات BruteForce به سایت های وردپرس و جوملا

bruteforceng.so: حملات Bruteforce به هر نوع صفحه لاگین

ftpbrute.so: حملات Bruteforce به اکانت های FTP

crawlerng.so: جست و جوی سایت ها بوسیله URL و یافتن اطلاعات کاربردی

crawlerip.so: جست و جوی سایت ها بوسیله IP و یافتن اطلاعات کاربردی

Mayhem بوسیله پلاگین rfiscan.so به دنبال سایت هایی می گردد که آسیب پذیری RFI دارند.  برای این کار از فایل humans.txt گوگل نیز استفاده می کند.

بعد از یافتن سایت آسیب پذیر، این بدافزار خود را در وب سرور، نصب می کند و اسکریپت های PHP را اجرا می کند. این اسکریپت ابتدا تمامی پردازش های ‘/usr/bin/host’ را از کار می اندازد. سپس به بررسی نوع سیستم عامل می پردازد و فایل ‘libworker.so’ را در سیستم عامل ایجاد می کند.

سپس سرور C&C را پینگ می کند وبعد از آن یک فایل مخفی سیستمی به نام sd0 را ایجاد می کند و تمامی هشت پلاگین بالا را دانلود می کند. جالب تر اینکه هیچ کدام توسط آنتی ویروس ها شناسایی نمی شوند.

Mayhem اولین بار ماه آوریل 2014 شناخته شد. محققان امنیتی هشدار می دهند که ممکن است پلاگین های بیشتری نیز وجود داشته باشند. دو سرور C&C یافت شده است که یکی از آن ها به طور خاص سیستم هایی را هدف قرار می دهد که هنوز آسیب پذیری Heartbleed را وصله نکرده اند.