APT组织的下一个目标：Linux

FB客服

发布于 2020-09-22 12:37:28

8520

发布于 2020-09-22 12:37:28

文章被收录于专栏：FreeBufFreeBuf

研究人员发现，更多高级攻击组织正在创建工具和平台来针对基于Linux的设备。因此，本文希望分析有关Linux安全性的误解，以及讨论组织如何更好地保护其Linux计算机。

在过去的8年里，卡巴斯基全球研究与分析团队观察到，越来越多的APT组织开始针对运行Linux软件的设备。

事实上，人们普遍认为Linux操作系统默认是安全的，并且不易受到恶意代码的攻击。这种误解主要是因为在过去网络犯罪分子创建针对对Linux台式机和服务器的恶意软件更少，并且相关攻击也更少，与之相反的是针对Windows攻击的报道很多。不过，研究人员认为，尽管Linux尚未遇到Windows系统所遭遇的大量病毒、蠕虫和特洛伊木马，但它仍然是一个有吸引力的目标。

APT组织之所以将目标瞄准Linux，关键因素是容器化趋势推动了Linux的广泛采用。向虚拟化和容器化的转变使得大多数企业在某些日常任务中都使用Linux，而这些设备通常可以从Internet访问，并且可以用作攻击者的初始入口点。

此外，一些IT、电信公司和政府使用的Linux和macOS设备比Windows系统更多，这让攻击者别无选择。

卡巴斯基的遥测表明，服务器是攻击的最常见目标，其次是企业IT和网络设备，然后是工作站。在某些情况下，攻击者还会利用被入侵的Linux路由器对同一网络中的Windows发起攻击。最终造成攻击者既可以访问Linux服务器上的数据，又可以访问运行Windows或可能已连接的macOS的端点。

不断演变的威胁

攻击者对Linux恶意软件进行更改，从而针对Linux设备发起攻击。刚开始编写恶意软件时，攻击者的目标是操纵网络流量。比如Cloud Snooper黑客组织就使用了一个面向服务器的Linux内核rootkit，旨在操纵Netfilter流量控制功能以及跨越目标防火墙的命令和控制通信。

而Barium（APT41）也有同样的目标。该组织从2013年开始瞄准游戏公司以获取经济利益，随着时间的推移，它开发了新的工具并追求更复杂的目标，使用名为MessageTap的Linux恶意软件，拦截来自电信提供商基础设施的短信。

此外，针对Linux的APT攻击者经常使用基于Linux服务器和台式机上可用的合法工具（例如，编译代码或运行Python脚本的能力），导致在日志中留下的攻击痕迹更少，进一步保证了权限维持的可能。具体操作上，一般是感染IoT、网络盒，或者替换受感染服务器上的合法文件。因为这些设备/内容不经常更新，并且在许多情况下没有安装防病毒软件。

许多企业对网络攻击者拥有PHP后门、rootkit和为Linux编写的利用代码并不十分担心，这是非常危险的讯号。虽然Linux没有像Windows那么频繁地成为攻击目标，但研究人员建议企业采取措施保护环境免受此类攻击。