Gli attacchi contro Linux sono in aumento e non siamo preparati

Anni fa, gli utenti Linux prendevano in giro gli utenti Windows per i loro problemi di sicurezza. Una barzelletta comune era che l'unico virus che conoscevamo fosse quello del raffreddore che abbiamo preso. Freddo derivante da attività all'aperto eseguite nel tempo non dedicato alla formattazione e al riavvio.

Come è successo ai porcellini nella storia, la nostra sicurezza era solo una sensazione. Quando Linux si è fatto strada nel mondo aziendale, i criminali informatici hanno trovato il modo di aggirare le sue protezioni.

Perché gli attacchi contro Linux sono in aumento

Quando stavo raccogliendo gli oggetti per il saldo del 2021, sono rimasto sorpreso dal fatto che ogni mese ci fosse un rapporto su problemi di sicurezza relativi a Linux. Naturalmente, gran parte della responsabilità non è degli sviluppatori ma degli amministratori di sistema.. La maggior parte dei problemi sono dovuti a infrastrutture mal configurate o gestite.

Sono d'accordo con te Ricercatori di cybersecurity di VMware, i criminali informatici hanno reso Linux il bersaglio dei loro attacchi quando hanno scoperto che, negli ultimi cinque anni, Linux è diventato il sistema operativo più popolare per ambienti multicloud ed è quello dietro il 78% dei siti web più popolari.

Uno dei problemi è che la maggior parte delle attuali contromisure anti-malware concentrarsi principalmente
nell'affrontare le minacce basate su Windows.

I cloud pubblici e privati ​​sono obiettivi di alto valore per i criminali informatici, poiché lo sono fornire accesso a servizi infrastrutturali e risorse informatiche critiche. Ospitano componenti chiave, come server di posta elettronica e database dei clienti,

Questi attacchi si verificano sfruttando sistemi di autenticazione deboli, vulnerabilità e configurazioni errate nelle infrastrutture basate su container. infiltrarsi nell'ambiente utilizzando strumenti di accesso remoto (RAT).

Una volta che gli aggressori sono entrati nel sistema, in genere optano per due tipi di attacchi: eeseguire ransomware o distribuire componenti di cryptomining.

• Ransomware: in questo tipo di attacco, i criminali entrano in una rete e crittografano i file.
• Crypto mining: in realtà esistono due tipi di attacchi. Nella prima vengono rubati i wallet simulando un'applicazione basata su criptovalute e nella seconda le risorse hardware del computer attaccato vengono utilizzate per il mining.

Come vengono effettuati gli attacchi

Una volta che il criminale ottiene l'accesso iniziale a un ambiente, Devi trovare un modo per sfruttare questo accesso limitato per ottenere più privilegi. Il primo obiettivo è installare programmi su un sistema compromesso che gli consentano di ottenere il controllo parziale della macchina.

Questo programma, noto come impianto o faro, mira a stabilire connessioni di rete regolari al server di comando e controllo per ricevere istruzioni e trasmettere i risultati.

Ci sono due modi di connessione con l'impianto; passivo e attivo

• Passivo: l'impianto passivo attende una connessione a un server compromesso.
• Attivo: l'impianto è connesso in modo permanente al server di comando e controllo.

La ricerca determina che gli impianti in modalità attiva sono i più utilizzati.

Tattiche d'attacco

Gli impianti spesso eseguono la ricognizione sui sistemi nella loro area. Per esempio, possono eseguire la scansione di un set completo di indirizzi IP per raccogliere informazioni di sistema e ottenere i dati del banner della porta TCP. Ciò può anche consentire all'impianto di raccogliere indirizzi IP, nomi host, account utente attivi e sistemi operativi e versioni software specifici di tutti i sistemi rilevati.

Gli impianti devono potersi nascondere all'interno di sistemi infetti per continuare a svolgere il proprio lavoro. Per questo, di solito viene mostrato come un altro servizio o applicazione del sistema operativo host. Nei cloud basati su Linux sono camuffati come lavori cron di routine. Su sistemi ispirati a Unix come Linux, cron consente agli ambienti Linux, macOS e Unix di pianificare l'esecuzione dei processi a intervalli regolari. In questo modo, il malware può essere impiantato in un sistema compromesso con una frequenza di riavvio di 15 minuti, quindi può essere riavviato in caso di interruzione.