linux-malware

Обновления за последние 7 дней из этого репозитория

Предложить?

Пресса/академические круги

• https://en.wikipedia.org/wiki/Linux_malware (#17) — Начальный доступ, Выполнение, Закрепление, Повышение привилегий, Обход защиты, Доступ к учётным данным, Обнаружение, Боковое перемещение, Сбор, Командный центр и управление, Экфильтрация, Воздействие, DarkSide
• https://rp.os3.nl/ (#30)
• https://wikileaks.org/vault7/ (#31)
• https://www.linuxexperten.com/library/e-resources/linux-malware-ever-growing-list-2023 (#622) — Разведка, Наращивание ресурсов, Начальный доступ, Выполнение, Закрепление, Повышение привилегий, Обход защиты, Доступ к учётным данным, Обнаружение, Боковое перемещение, Сбор, Командный центр и управление, Экфильтрация, Воздействие, Linux
• https://doublepulsar.com/bpfdoor-an-active-chinese-global-surveillance-tool-54b078f1a896 (#422) — Закрепление, Обход защиты, Командный центр и управление, attack:T1205.002:Сокетные фильтры, attack:T1036:Маскировка, attack:T1070:Удаление индикаторов на хосте, attack:T1205:Сигнализация трафика, https://github.com/timb-machine/linux-malware/issues/420, https://github.com/timb-machine/linux-malware/issues/418, BPFDoor, Tricephalic Hellkeeper, Unix.Backdoor.RedMenshen, JustForFun, DecisiveArchitect, Linux, Solaris
• https://securelist.com/top-10-unattributed-apt-mysteries/107676/ (#552) — Metador, Plexing Eagle, wltm, Linux, Solaris, Телекоммуникации
• https://www.blackberry.com/us/en/pdfviewer?file=/content/dam/blackberry-com/asset/enterprise/pdf/direct/report-bb-2021-threat-report.pdf (#20) — Начальный доступ, Выполнение, Закрепление, Повышение привилегий, Обход защиты, Доступ к учётным данным, Обнаружение, Боковое перемещение, Сбор, Командный центр и управление, Экфильтрация, Воздействие, LaZagne, Dalcs, Mirai, Gafgyt, Tsunami, IPStorm, Wellmess, FritzFrog, Linux
• https://www.trendmicro.com/vinfo/us/security/news/cybercrime-and-digital-threats/linux-threat-report-2021-1h-linux-threats-in-the-cloud-and-security-recommendations (#32)
• https://www.bleepingcomputer.com/news/security/lockbit-ransomware-encryptors-found-targeting-mac-devices/ (#638) — Наращивание ресурсов, Воздействие, attack:T1486:Данные зашифрованы для воздействия, https://github.com/timb-machine/linux-malware/issues/644, использует:CrossCompiled, LockBit, Linux, Внутренние специализированные службы
• https://www.zdnet.com/article/hacker-exposes-thousands-of-insecure-desktops-that-anyone-can-remotely-view/ (#33)
• https://www.darkreading.com/attacks-breaches/blackcat-purveyor-shows-ransomware-operators-have-nine-lives (#41) — Воздействие, BlackCat, https://github.com/timb-machine/linux-malware/issues/512
• https://www.trendmicro.com/en_us/research/21/l/the-evolution-of-iot-linux-malware-based-on-mitre-att&ck-ttps.html (#37)
• https://reyammer.io/publications/2018_oakland_linuxmalware.pdf (#28)
• https://www.group-ib.com/resources/threat-research/oldgremlin.html (#573) — Воздействие, OldGremlin, Linux
• https://malpedia.caad.fkie.fraunhofer.de/ (#29)
• https://www.crowdstrike.com/blog/linux-targeted-malware-increased-by-35-percent-in-2021/ (#40)
• https://www.blackberry.com/us/en/pdfviewer?file=/content/dam/blackberry-com/asset/enterprise/pdf/direct/report-bb-decade-of-the-rats.pdf (#21) — WINNTI
• https://ieeexplore.ieee.org/document/8418602 (#25)
• https://www.intezer.com/blog/cloud-security/top-linux-cloud-threats-of-2020/ (#22) — AgeLocker, WellMail, TrickBot, IPStorm, Turla, QNAPCrypt, Carbanak
• https://www.fireeye.com/blog/threat-research/2021/09/elfant-in-the-room-capa-v3.html (#34)
• https://github.com/CiscoCXSecurity/presentations/raw/master/The%20UNIX%20malware%20landscape%20-%20Reviewing%20the%20goods%20at%20MALWAREbazaar%20v5.pdf (#448)
• https://www.welivesecurity.com/wp-content/uploads/2018/12/ESET-The_Dark_Side_of_the_ForSSHe.pdf (#23) — Закрепление, различные SSH, Bonadan, Kessel, Chandrila, использует:Perl
• https://securelist.com/an-overview-of-targeted-attacks-and-apts-on-linux/98440/ (#19) — Начальный доступ, Выполнение, Закрепление, Повышение привилегий, Обход защиты, Доступ к учётным данным, Обнаружение, Боковое перемещение, Сбор, Командный центр и управление, Экфильтрация, Воздействие
• https://www.vmware.com/content/dam/digitalmarketing/vmware/en/pdf/docs/vmw-exposing-malware-in-linux-based-multi-cloud-environments.pdf (#101) — Обход защиты, Командный центр и управление, Экфильтрация, Воздействие, attack:T1486:Данные зашифрованы для воздействия, XMRig, Hello Kitty, https://github.com/timb-machine/linux-malware/issues/546, REvil, DarkSide, BlackMatter, Defray777, ViceSociety, Erebus, GonnaCry, eChoraix, Sysrv, TeamTNT, Mexalz, Omelette, WatchDog, Kinsing, Cobalt Strike, Vermillion Strike, Merlin, https://github.com/timb-machine/linux-malware/issues/545, https://github.com/timb-machine/linux-malware/issues/547, RedXOR, https://github.com/timb-machine/linux-malware/issues/548, ACBackdoor, https://github.com/timb-machine/linux-malware/issues/549, ELF_Plead, Linux, VMware, Внутренние корпоративные службы, Внутренние специализированные службы
• http://s3.eurecom.fr/~invano/slides/recon18_linux_malware.pdf (#27)
• https://www.pwc.com/gx/en/issues/cybersecurity/cyber-threat-intelligence/cyber-year-in-retrospect/yir-cyber-threats-report-download.pdf (#417) — LootRat, PLEAD, TSCookie, RotaJakiro1, Red Djinn, Red Nue, Scarlet Joke, Ocean Lotus, APT32, Linux
• https://blog.trendmicro.com/trendlabs-security-intelligence/unix-a-game-changer-in-the-ransomware-landscape/ (#35)
• https://en.wikipedia.org/wiki/Mirai_(malware) (#18) — Начальный доступ, Закрепление, Обход защиты, Доступ к учётным данным, Обнаружение, Боковое перемещение, Воздействие, Mirai
• https://gist.github.com/vlamer/2c2ec2ca80a84ab21a32 (#26)
• https://www.botconf.eu/wp-content/uploads/2018/12/2018-R-Dumont-H-Porcher-dark_side_of_the_forsshe.pdf (#24) — различные SSH, Bonadan, Kessel, Chandrila
• https://spectrum.ieee.org/amp/mirai-botnet-2659993631 (#676) — Начальный доступ, Воздействие, attack:T1190:Эксплуатация общедоступного приложения, attack:T1498:Отказ в обслуживании сети, attack:T1499:Отказ в обслуживании конечных точек, Mirai, Linux, Потребитель

В дикой природе

Отчёты об утечках

• https://www.volexity.com/blog/2022/06/02/zero-day-exploitation-of-atlassian-confluence/ (#446) — Начальный доступ, Linux
• https://permiso.io/blog/s/unmasking-guivil-new-cloud-threat-actor/ (#677) — Разведка, Начальный доступ, Закрепление, Обход защиты, Обнаружение, Сбор, Воздействие, attack:T1593:Поиск открытых веб-сайтов/доменов, attack:T1190:Эксплуатация общедоступного приложения, attack:T1078.004:Облачные учётные записи, attack:T1526:Обнаружение облачных служб, attack:T1619:Обнаружение объектов облачного хранилища, attack:T1069:Обнаружение групп разрешений, attack:T1069.003:Облачные группы, attack:T1602:Данные из репозитория конфигурации, attack:T1213.003:Репозитории кода, attack:T1098:Манипулирование учётными записями, attack:T1098.003:Дополнительные облачные роли, attack:T1136:Создание учётной записи, attack:T1136.003:Облачная учётная запись, attack:T1036:Маскировка, attack:T1021.004:SSH, attack:T1578:Изменение облачной вычислительной инфраструктуры, attack:T1578.002:Создание облачного экземпляра, attack:T1525:Встраивание внутреннего образа, attack:T1496:Перехват ресурсов, GUI-vil, Linux, Хостинг, Облачные хостинговые службы
• https://www.freedownloadmanager.org/blog/?p=664 (#765) — Начальный доступ, Доступ к учётным данным, https://github.com/timb-machine/linux-malware/issues/766, Free Download Manager, https://github.com/timb-machine/linux-malware/issues/816, wltm, Linux
• http://securelist.com/backdoored-free-download-manager-linux-malware/110465/ (#766) — Начальный доступ, Доступ к учётным данным, Сбор, Командный центр и управление, https://github.com/timb-machine/linux-malware/issues/765, Free Download Manager, https://github.com/timb-machine/linux-malware/issues/816, attack:T1071.004:DNS, attack:T1105:Передача инструментов через входящий трафик, attack:T1560.001:Архивирование с помощью утилиты, wltm, Linux

Атаки на цепочки поставок

• https://www.heise.de/security/meldung/Achtung-Anzeigen-Server-OpenX-enthaelt-eine-Hintertuer-1929769.html (#295) — OpenX
• https://arstechnica.com/information-technology/2012/09/questions-abound-as-malicious-phpmyadmin-backdoor-found-on-sourceforge-site/ (#47) — PHPMyAdmin
• https://lists.archlinux.org/pipermail/aur-general/2018-July/034169.html (#523) — https://github.com/timb-machine/linux-malware/issues/525, wltm, Linux
• https://lwn.net/Articles/371110/ (#291) — e107 CMS
• https://news.ycombinator.com/item?id=17501379 (#525) — Linux
• https://dev.horde.org/h/jonah/stories/view.php?channel_id=1&id=155 (#46) — Horde Webmail
• https://portswigger.net/daily-swig/homebrew-bug-allowed-researcher-full-access-to-github-repos (#290) — Homebrew
• https://securelist.com/beware-of-backdoored-linux-mint-isos/73893/ (#543) — Начальный доступ, Командный центр и управление, Воздействие, Tsunami, Kaiten, Linux
• https://github.com/SecurityFail/kompromat () — Доступ к учётным данным, attack:T1552.004:Приватные ключи, Linux, HP-UX, AIX, Solaris, Внутренние специализированные службы

Отчёты о вредоносном ПО* https://www.deepinstinct.com/blog/bpfdoor-malware-evolves-stealthy-sniffing-backdoor-ups-its-game (#658) - Persistence, Defense Evasion, Command and Control, attack:T1205.002:Socket Filters, attack:T1036:Masquerading, attack:T1070:Indicator Removal on Host, attack:T1205:Traffic Signaling, attack:T1573:Encrypted Channel, attack:T1106:Native API, BPFDoor, /malware/binaries/BPFDoor, Linux

• https://blogs-jpcert-or-jp.translate.goog/ja/2023/07/dangerouspassword_dev.html (#721) - Defense Evasion, Command and Control, uses:Python, uses:JavaScript, attack:T1140:Deobfuscate/Decode Files or Information, PythonHTTPBackdoor, wltm, DangerousPassword, CryptoMimic, SnatchCrypto, Linux
• https://blogs.blackberry.com/en/2020/06/threat-spotlight-tycoon-ransomware-targets-education-and-software-sectors (#305) - Tycoon
• https://www.akamai.com/blog/security-research/updated-kmsdbot-binary-targeting-iot (#744) - Reconnaissance, Initial Access, Defense Evasion, Lateral Movement, Exfiltration, Impact, uses:Go, attack:T1133:External Remote Services, attack:T1021:Remote Services, attack:T1021.004:SSH, attack:T1078.001:Default Accounts, attack:T1110:Brute Force, attack:T1095:Non-Application Layer Protocol, attack:T1048:Exfiltration Over Alternative Protocol, attack:T1567:Exfiltration Over Web Service, attack:T1499:Endpoint Denial of Service, attack:T1498:Network Denial of Service, attack:T1480:Execution Guardrails, Kmsdbot, Linux, IOT
• https://media.defense.gov/2020/Aug/13/2002476465/-1/-1/0/CSA_DROVORUB_RUSSIAN_GRU_MALWARE_AUG_2020.PDF (#67) - Drovorub
• https://www.countercraftsec.com/blog/a-step-by-step-bpfdoor-compromise/ (#643) - Persistence, Defense Evasion, Command and Control, attack:T1205.002:Socket Filters, attack:T1036:Masquerading, attack:T1070:Indicator Removal on Host, attack:T1205:Traffic Signaling, attack:T1573:Encrypted Channel, attack:T1106:Native API, attack:T1059.004: Unix Shell, attack:T1070.004:File Deletion, attack:T1036.004:Masquerade Task or Service, attack:T1070.006:Timestomp, uses:RedirectionToNull, uses:Non-persistentStorage, attack:T1036.005:Match Legitimate Name or Location, uses:ProcessTreeSpoofing, attack:T1562.004:Disable or Modify System Firewall, BPFDoor, , Unix.Backdoor.RedMenshen, Linux, Solaris