کشف Backdoor پیچیده وب سرور آپاچی

پژوهشگران شرکت‌های امنیتی ESET و Sucuri تهدید جدیدی را مورد تجزیه و تحلیل قرار داده اند که وب سرور آپاچی را تحت تأثیر قرار می‌دهد. تهدید مذکور یک backdoor بسیار پیچیده است و کاربران را به وب‌سایت هایی که حاوی اکسپلویت کیت Blackhole می باشند هدایت می کند. این backdoor که توسط پژوهشگران Linux/Cdorked.A نام گرفته، پیچیده‌ترین backdoorی است که تاکنون برای وب سرور آپاچی شناخته شده است. Pierre-Marc Bureauمدیر برنامه امنیت شرکت ESET در این باره افزود: Linux/Cdorked.A به جز تغییر فایل httpd (سرویسی که توسط آپاچی استفاده می‌شود) ردپای دیگری بر روی دیسک سخت بر جای نمی‌گذارد. همه‌ی اطلاعات مربوط به backdoor در حافظه‌ی مشترک سرور ذخیره می‌شود، بنابراین تشخیص آن دشوار شده و مانع از تجزیه و تحلیل می‌گردد. علاوه بر این بدافزار مذکور برای جلوگیری از تشخیص خود از قابلیت دیگری در وب سرور آلوده و مرورگر رایانه کاربر که درخواست های خود را به این وب سرور ارسال می کند، استفاده می نماید. درشکل زیر کدهایی از این backdoor آمده است که پژوهشگران ESET در وب سایت welivesecurity(tinyurl.com/ESETApril2013) آن را تحلیل کرده اند.

 

Righard Zwienenberg که در سال گذشته به عنوان محقق ارشد به شرکت ESET پیوسته بود گفت: پیکربندی backdoor با درخواست‌های HTTP توسط مهاجم ارسال می‌شود که این درخواست‌ها علاوه بر اینکه مبهم می باشند، توسط آپاچی نیز ثبت نمی‌شوند؛ بنابراین احتمال شناسایی توسط ابزارهای معمول نظارتی کاهش می‌یابد. این پیکربندی در حافظه ذخیره می گردد، یعنی هیچ اطلاعات کنترل و فرمانی از backdoor قابل مشاهده نیست. بنابراین تجزیه و تحلیل جرم‌شناسی(forensic) این رخداد بسیار پیچیده می باشد و به سادگی مشخص نمی شود که وب سرور آپاچی در معرض خطر قرار دارد یا خیر. در مقاله وب سایت Threatpost (tinyurl.com/TpostApril2013) آمده است که در این حمله هر آدرس IP در روز تنها یک بار تغییر مسیر می دهد و وب‌سایت هایی که از آن‌ها کد مخرب بارگذاری می شوند، ظاهراً URLهای تصادفی هستند. به عقیده پژوهشگران ESET بیش از هزاران وب سایت با backdoor مذکور آلوده شده اند.