Novo malware tem como alvo servidores WebLogic

De acordo com a equipa de investigação da Aqua Security, um novo malware para Linux foi observado a atacar servidores Oracle WebLogic para implementar malware adicional e extrair credenciais para, depois, efetuar movimentos laterais.

O malware intitulado de Hadooken foi implementado em ciberataques para explorar palavras-passe fracas. Depois de comprometer os servidores WebLogic, os cibercriminosos descarregaram um script shell e Python para correr o malware.

Os dois scripts têm a mesma funcionalidade e a sua utilização sugere que os ciberatacantes procuravam ter a certeza de que o Hadooken seria executado com sucesso no servidor e ambos os scripts descarregavam o malware para uma pasta temporária antes de o apagarem.

Depois de executado, o Hadooken implementa dois ficheiros: um cryptominer – implementado em três caminhos com três nomes diferentes – e o malware Tsunami que é colocado numa pasta temporária com um nome aleatório. A equipa de investigação indica que não há indicação de que os atacantes estavam a usar o malware Tsunami, mas estima-se que seria utilizado numa parte mais avançada do ataque.