Szkodnik Mayhem tworzy botnet atakując serwery oparte na Linuksie i FreeBSD

Systemy Unixowe są uznawane za rozwiązania bardzo bezpieczne, przez co często wykorzystuje się je w roli serwerów. Niektórzy użytkownicy kiepsko zorientowani w temacie uważają nawet, że są one zupełnie bezpieczne, że nie ma szans na takie zagrożenia, jakie występują pod Windowsem. Cóż, mylą się. Dowodem na to jest botnet „budowany” m.in. w Australii właśnie w oparciu o serwery działające pod kontrolą Linuksa i FreeBSD. Zagrożenie dokładnie opisali pracownicy Virus Bulletin, które zajmuje się testowaniem zagrożeń i aplikacji zabezpieczających.

Szkodnik nosi nazwę Mayhem i pojawił się już w kwietniu tego roku. Wykorzystuje on PHP w celu dostania się do systemu i jego zainfekowania. Co ważne, do działania wcale nie wymaga podwyższonych uprawnień. Nie trzeba uruchamiać go z uprawnieniami administratora, ani na Linuksie, ani na FreeBSD. Zainfekowany serwer łączy się ze zdalnym hostem, który umożliwia zarządzanie botem. Jego funkcjonalność jest uzależniona od tego, jakie dodatkowe moduły pobierze on z hosta atakującego i jakie będą jego decyzje. Może on posłużyć np. do łamania hasła metodą siłową (brute force) lub indeksowania stron internetowych i pozyskiwania informacji. Zagrożenie może także zaszyć się w systemie i czekać, nie wykonując żadnych podejrzanych działań.

Andrej Kowaliow, Konstantin Ostrashkevich i Evgeny Sidorov z rosyjskiego Yandexa po analizie zagrożenia stwierdzili, że zachowuje się on w zasadzie tak samo, jak tradycyjny bot atakujący systemy Windows. Naukowcy uważają również, że może to być kontynuacja ataku Fort Disco jaki rozpoczął się w maju ubiegłego roku. Wtedy zarządzany z sześciu centrów szkodnik zainfekował 25 tysięcy maszyn pracujących pod kontrolą systemu Windows. Skala ataku Mayhem jeszcze nie jest tak duża. Póki co wiadomo o 1400 infekcjach, głównie w Stanach Zjednoczonych, Rosji, Niemczech oraz Kanadzie. Najważniejsze jest jednak to, że celem ataku stają się coraz częściej serwery linuksowe. Na świecie pracuje ogromna ilość maszyn wykorzystywanych w celu serwowania użytkownikom stron internetowych. Luki w rozwiązaniach w nich wykorzystywanych (np. PHP, Apache, Nginx) mogą doprowadzić do przejęcia kontroli nad całą maszyną, co dobitnie pokazuje ten właśnie przykład.

Istotnym problemem jest aktualizacja samego oprogramowania po stronie serwera, która często nie może mieć miejsca tak ze względów finansowych jak i problemów związanych z kompatybilnością. To dodatkowo naraża serwery na ataki, nawet jeżeli luki zostały dawno załatane. Kolejny problem to brak skutecznych rozwiązań antywirusowych, a także innych sposobów ochrony, które mogłyby pomóc w tej sytuacji. Badacze dali jasno do zrozumienia, że osoby tworzące botnety mogą bardzo łatwo wyszukać narażone na ataki serwery i je przejąć. Mit o stuprocentowym bezpieczeństwie tylko pogarsza sytuację w przypadku nieroztropnego administratora.