Новый бэкдор позволяет включить «режим Бога» на сервере.
https://www.securitylab.ru/upload/ib...5a1vakqf2q.png
Исследователи безопасности обнаружили новое вредоносное ПО, нацеленное на серверы Microsoft SQL. Бэкдор Maggie уже заразил сотни компьютеров по всему миру.
Maggie управляется с помощью SQL-запросов. Его возможности включают в себя взлом входа администратора на другие серверы Microsoft SQL и дублирование в качестве моста в сетевую среду сервера.
Бэкдор был обнаружен аналитиками из DCSO CyTec . Данные телеметрии показывают, что Maggie более распространен в Южной Корее, Индии, Вьетнаме, Китае, России, Таиланде, Германии и США.
https://www.securitylab.ru/upload/im...t-img(552).png
Карта заражений Maggie
Анализ вредоносного ПО показал, что Maggie маскируется под DLL-библиотеку расширенной хранимой процедуры (Extended Stored Procedure DLL) с цифровой подписью компании DEEPSoft Co. Ltd, которая базируется в Южной Корее.
Файлы расширенных хранимых процедур расширяют функциональные возможности SQL-запросов за счет использования API, который принимает аргументы удаленного пользователя и отвечает неструктурированными данными. Это позволяет обеспечить удаленный доступ к бэкдору с помощью набора из 51 команды.
Команды позволяют Maggie выполнять различные действия, в том числе:<ul><li>запрашивать системную информацию;</li>
</ul><ul><li>запускать программы;</li>
</ul><ul><li>взаимодействовать с файлами и папками;</li>
</ul><ul><li>включать службы удаленного рабочего стола (TermService);</li>
</ul><ul><li>запускать прокси-сервер SOCKS5 для маршрутизации всех сетевых пакетов, что делает бэкдор незаметным</li>
</ul><ul><li>настраивать переадресацию портов;</li>
</ul><ul><li>подбирать пароль администратора;</li>
</ul><ul><li>добавлять жестко закодированную учетную запись оператора бэкдора.</li>
</ul>Также 4 команды «Exploit» позволяют киберпреступнику эксплуатировать известные уязвимости для определенных целей, например, добавить нового пользователя.
Вредоносная программа также предлагает функцию перенаправления TCP, которая позволяет удаленному злоумышленнику подключаться к любому IP-адресу, доступному зараженному серверу MS-SQL. Если эта функция включена, Maggie перенаправляет любое входящее соединение на установленный IP-адрес и порт.
В настоящее время некоторые детали остаются неизвестными, например, кто стоит за атаками, как используется Maggie после заражения и как он внедряется на серверы.