Škodlivá operácia Windigo

Škodlivá operácia Windigo zneužíva 25-tisíc serverov, ohrozených je 500-tisíc počítačov

Bezpečnostní výskumníci zo slovenskej antivírusovej spoločnosti ESET objavili spolu so zahraničným bezpečnostnými organizáciami rozsiahlu kybernetickú kriminálnu činnosť, ktorá celosvetovo prevzala kontrolu nad viac než 25-tisíckami serverov. Niekoľko z nich sa nachádza aj na Slovensku a v Českej republike.

Krajiny napadnuté škodlivým kódom Windigo.

Útok, ktorý bezpečnostní experti pomenovali “operácia Windigo”, mal za následok infikovanie serverov, ktoré rozosielali milióny spamových e-mailov. Komplexná skupina sofistikovaných komponentov škodlivého kódu bola vytvorená na prevzatie kontroly nad servermi, infikovanie počítačov, ktoré ich navštívia a na krádež informácií.

“Windigo naberal na sile viac než dva a pol roka a momentálne má pod kontrolou 10-tisíc serverov,” hovorí Marc-Étienne Léveillé, bezpečnostný výskumník spoločnosti ESET. “Denne je na e-mailové účty nevinných internetových používateľov týmto spôsobom odoslaných viac než 35 miliónov spamových e-mailov. Zaberajú im e-mailové schránky a vystavujú ich systémy riziku. Ešte horšie však je, že každý deň sa riziku vystavuje pol milióna počítačov, ktoré navštevujú webstránky infikované škodlivým kódom zameraným na webové servery. Tento škodlivý kód na ne umiestnili tvorcovia operácie Windigo, počítače sú týmto spôsobom presmerované na škodlivé exploit sady a reklamu,” vysvetľuje Léveillé.

Štatistika obetí podľa operačného systému.

Zaujímavé je, že Windigom zasiahnuté webstránky sa pokúšajú infikovať počítače s Windowsom cez exploit sadu, používateľom Macov však podsúvajú reklamu na zoznamovacie webstránky a majitelia iPhonov sú presmerovávaní na stránky s pornografickým obsahom.

Viac než 60 percent webstránok na celom svete beží na linuxových serveroch. Výskumníci ESETu, ktorí Windigo pomenovali podľa mýtického stvorenia severoamerických Indiánov Alqonquinov pre jeho kanibalistické sklony, apelujú na administrátorov unixových systémov a webmasterov, aby vo svojich systémoch zadali nasledovný príkaz, ktorý im povie, či boli ich servery skompromitované:

$ ssh -G 2>&1 | grep -e illegal -e unknown > /dev/null && echo „System clean“ || echo „System infected“

Ak systémoví administrátori zistia, že ich systémy sú infikované, je im odporučené vymazať zasiahnuté počítače a preinštalovať operačný systém a softvér. Je dôležité, aby boli použité nové heslá a privátne šifrovacie kľúče. Existujúce musia byť považované za skompromitované.

Pre vyššiu úroveň ochrany pri vstupe do systémov by mali systémoví a web administrátori zvážiť použitie technológie dvojfaktorovej autentifikácie.

“Uvedomujeme si, že premazať server a začať od začiatku môže byť horkou pilulkou. Ak však hackeri ukradli vaše administrátorské loginy a majú vzdialený prístup k vašim serverom, nemôžete riskovať,” vysvetľuje Léveillé. “Sme v kontakte s niektorými obeťami tohto útoku, ktoré vedia, že sú infikované. Pre vyčistenie svojich systémov však bohužiaľ nič nespravili, čo môže potenciálnemu riziku vystaviť ešte viac internetových používateľov.”

Všetkým používateľom internetu ESET pripomína, aby jedno heslo nepoužívali do viacerých systémov a aby si ako heslo nevyberali ľahko uhádnuteľný reťazec.

Štatistika obetí podľa prehliadačov.