Em 3 de outubro, pesquisadores da Aqua Nautilus publicaram um post no blog revelando o que sabem sobre um malware específico para Linux chamado “Perfctl”, que tem como alvo servidores Linux nos últimos três a quatro anos, utilizando “mais de 20.000 tipos de configurações incorretas” como vetores de ataque para iniciar a exploração. Uma vez iniciada a exploração, o malware usaria um rootkit para se ocultar e inevitavelmente começaria a roubar recursos de CPU para uso em mineração de criptomoedas. Ele ocultava o tráfego de mineração e possíveis instruções para comandos de backdoor e vigilância através de tráfego criptografado pelo Tor.
Este malware Perfctl é uma ameaça bastante severa e persistente, considerando quanto tempo permaneceu em circulação. Um minerador de criptomoedas sorrateiro já seria ruim o suficiente, mas o Perfctl também pode obter maior acesso de backdoor a todo o sistema através de certos vetores, o que poderia representar um problema de segurança ainda maior. Também é difícil detectar adequadamente os processos sequestrados ao diagnosticar servidores impactados. Ele pode ocultar totalmente sua atividade de mineração de criptomoedas, devolvendo números de utilização de CPU que omitem sua atividade.
Felizmente, existem mitigações que operadores de servidores podem adotar para ajudar a aliviar a ameaça apresentada pelo Perfctl.
Mitigações Recomendadas pela Aqua Nautilus para o Malware Perfctl
- Corrigir todas as vulnerabilidades potenciais, em particular as vulnerabilidades de aplicativos como servidores RocketMQ e a vulnerabilidade Polkit. Manter as bibliotecas atualizadas é recomendado.
- Restringir a execução de arquivos definindo “noexec” em /tmp, /dev/svm e “outros diretórios graváveis” que estão sendo usados para executar este malware.
- Desativar serviços opcionais e não utilizados, em particular “aqueles que podem expor o sistema a atacantes externos, como serviços HTTP”.
- Implementar uma gestão de privilégios rigorosa restringindo o acesso root a arquivos e diretórios críticos, além de empregar Controle de Acesso Baseado em Funções (RBAC) para limitar o que usuários e processos podem acessar ou modificar.
- Segmentar a rede isolando servidores críticos da Internet ou usando firewalls para bloquear comunicações de saída, “especialmente tráfego Tor ou conexões com pools de mineração de criptomoedas”.
- Finalmente, implantar proteção em tempo de execução usando “ferramentas avançadas de anti-malware e detecção comportamental que podem detectar rootkits, mineradores de criptomoedas e malware sem arquivo como o Perfctl”.
Com sorte, os operadores de servidores podem evitar essa exploração ou corrigi-la onde estiver presente agora que essa exploração e mitigações estão bem documentadas. Para informações mais detalhadas sobre como os ataques funcionaram e o que a Aqua Nautilus aprendeu ao usá-los como isca e em sandbox, considere conferir o post completo, de várias páginas, documentando o problema em AquaSec.
Caso contrário, se você não for um operador de servidor Linux, espere que suas informações não estejam em nenhum dos servidores Linux já comprometidos por esse problema e certifique-se de que está seguindo práticas adequadas de cibersegurança no seu dia a dia.
