慎防Linux遭DDoS殭屍網絡滲透及控制

先有大批荷里活女星私密照片外泄,繼有網絡安全威脅意見書指不法之徒或針對娛樂行業,發動系統分佈式阻隔服務(DDoS)攻擊,娛樂行業可謂正值多事之秋。

雲端服務供應商Akamai旗下Prolexic的安全工程及反應團隊,早前發布之全新網絡安全威脅意見書,即提示企業有關Linux系統感染IptabLes及IptabLex的高風險威脅。惡意攻擊者更可透過受感染的Linux系統,針對娛樂行業及其他特定行業,發動系統分佈式阻隔服務(DDoS)攻擊(如欲下載詳細意見書請瀏覽www.prolexic.com/iptablex)。

DDoS殭屍網絡對Linux系統造成威脅

Akamai Technologies安全部高級副總裁兼總經理Stuart Scholly表示:「在Linux系統內,受IptabLes及IptabLex感染的惡意軟體中,我們追查到2014年其中一宗最大型的DDoS攻擊行動。這可以說是網絡安全發展的一大變化,因為過去Linux系統往往不會用於DDoS殭屍網絡中。惡意攻擊者可從沒有修補的Linux軟件中的已知漏洞,發動DDoS攻擊。Linux管理員須了解這些威脅,並作出相應行動,方能保護企業的伺服器。」

透過Apache Struts、Tomcat及Elasticsearch的漏洞,IptabLes及IptabLex得以大規模地在Linux伺服器廣泛散播。攻擊者利用Linux未被修復的伺服器漏洞,取得存取和升級權限,並遙距操控機器,再在系統中加入及執行惡意編碼。最後,使系統能夠成為DDoS殭屍網絡的一部分,被遙距操控。而其中一個確認感染的指標,是/boot目錄內名為.IptabLes或.IptabLex的負載,這些程式在重新啟動時,會執行二元檔案.IptabLes。該惡意軟件還包含自我更新功能,受感染的系統會聯絡遠端主機下載檔案。在實驗中,受感染的系統曾嘗試聯絡兩個位於亞洲的IP位址。

亞洲成DDoS攻擊主要來源之一

據報告顯示,IptabLes及IptabLex的指令及控制中心位處亞洲。受感染的系統最初是由亞洲開始,但愈來愈多較近期的感染,來自美國及其他地區的伺服器。過去,大部分DDoS殭屍病毒感染均源自俄羅斯,可是現時亞洲儼然已成為了DDoS發展的一個重要源頭。

威脅意見書並指出,在Linux系統上偵測和預防IptabLes或IptabLex感染的方法,包括修補和鞏固Linux伺服器和防病毒偵測。PLXsert預料,DDoS殭屍網絡將會進一步受感染和擴張。意見書中另提及,PLXsert會提供bash指令,以清除受感染的系統。DDoS限速緩和技術,能夠針對控制發動殭屍病毒的DDoS攻擊者。

此外,PLXsert在威脅意見書中亦分享YARA規則,能協助分辨所觀察的攻擊行動中,使用ELF IptabLes的負載。

IptabLes和IptabLex殭屍網絡,能對某些已請求DDoS專家保護的目標公司,發動顯著的DDoS攻擊行動。Akamai方面則有提供緩和DDoS方案,阻止從IptabLes和IptabLex殭屍病毒發起的DDoS攻擊。