MIMO, kart detaylarını çalmak ve bant genişliğinden para kazanmak için Magento CMS’yi hedefler

Datadog Güvenlik Araştırma Ekibi, Mimo’lette veya HEZB olarak da bilinen MIMO Tehdit Oyuncusu’nu, operasyonlarını Craft CMS’den Magento CMS’ye genişleten ortaya çıkardı.

Kriptominerleri kamuya açık güvenlik açıkları yoluyla dağıtmak için daha önce belgelenmiş olan MIMO, şimdi daha geniş platform hedeflemesine doğru taktiksel bir kaymayı işaretleyerek Magento kurulumlarında belirsiz PHP-fpm kusurlarını kullanıyor.

Bu evrim, sadece kaynak sömürüsünün ötesinde daha gelişmiş mali suçların hazırlanmasını öneren sofistike kalıcılık ve kaçırma mekanizmalarını içerir.

Taktiklerin evrimi

Soruşturmalar, saldırganların Magento eklentileri aracılığıyla komut enjeksiyonu kullandıkları ve yetkisiz uzaktan erişim ve uzlaşmış sistemlerin para kazanmasını sağlayan çok günlük müdahaleleri ortaya koyuyor.

MIMO’nun güncellenmiş araç seti, Global Socket Relay Network (GSRN) aracılığıyla uçtan uca-256-CBC şifreleme ve TOR desteği ile şifreli bağlantılar kurarak, güvenlik duvarı ve NAT bypass için meşru GSocket penetrasyon test aracından yararlanır.

Kalıcılık, SystemD servis birimleri, RC.local modifikasyonlar ve gsocket tabanlı ters kabukları saatlik olarak yürüten, çekirdek iplikleri gibi fquerading ile gerçekleştirilir. [kstrp]- [watchdogd]veya [kswapd0] tespitten kaçınmak için.

Dikkate değer bir kaçırma tekniği, meşru çekirdek işlemlerinden sonra adlandırılan anonim bellek içi dosyalar oluşturarak memfd_create () syscall’u içerir (örn. MEMFD:[rcu_sched]), yüklerin disk ayak izleri olmadan çalışmasına izin verir.

Dağıtımdan önce, saldırganlar .bashrc, .bash_profile ve /etc/ld.so.preload’dan eserleri temizler, daha sonra Alamdar.so rootkit’i, XMRIG madencileri ve Iproyal Proxy istemcileri gibi süreçleri gizlemek için enjekte ederler.

Altyapı içgörüler

Finansal olarak motive edilen Mimo, kriptajı “kâr istifleme” için proxyJacking ile birleştiriyor. UPX paketli XMRIG varyantları C3pool’da Monero Minero, CPU kaynaklarını tüketirken, hezb.x86_64 Iproyal Pawns istemcisi, bant genişliğini konut vekilleri olarak para kazanarak minimal yüklü pasif gelir elde eder.

Bu ikili yaklaşım esneklik sağlar; Madencilik bozulsa bile, proxy operasyonları tespit edilmez.

Docker-hedefli varyantların tersine mühendisliği, Alamdar/O, komut yürütme ve “EC2-User” gibi kullanıcı adlarıyla yayılan SSH Brute zorlama modüllerini içeren Alamdar/313 paketi altında modüler GO tabanlı kötü amaçlı yazılımları ortaya çıkarır.

Çok katmanlı komut ve kontrol, operasyonel güvenliği artırarak sunucuları (örn.

Yanlış yapılandırılmış Docker API’lerinin ek hedeflenmesi, hizmete özgü izleme için parametrelendirilmiş olan Base64 kodlu bukleler aracılığıyla cron.jpg gibi yükleri getirerek kötü niyetli kaplar çıkarır.

Önceki raporlarda bulunmayan bu çeşitlendirme, MIMO’nun uyarlanabilirliğini vurgular ve potansiyel olarak e -ticaret ortamlarındaki kart detay hırsızlığını hafızada ısrar ederek ve kaçınarak adli tıp.

Azaltma, yetkisiz girişler için /etc/ld.so.preload denetimini, CMS platformlarının güncellenmesini, Monero bağlantı noktalarını engellemeyi (3333, 5555) ve gizli komutlar için cron işlerini incelemeyi içerir.

Süreçlerin gözden geçirilmesi ve temiz botlardan gizli yürütülebilir ürünleri öldürmek, köklüleri ortadan kaldırmak ve kimlik bilgilerini döndürmek için gereklidir.

Get Free Ultimate SOC Requirements Checklist Before you build, buy, or switch your SOC for 2025 - Download Now