Malware för smidiga webbservrar sprider sig vidare

Ett smutsigt skadligt program tar tag i några av de mest populära webbservrarna, och forskare vet fortfarande inte varför.

I förra veckan hittade säkerhetsföretag Eset och Sucuri Apache-servrar smittade med Linux / Cdorked. Om den skadliga programvaran körs på en webbserver, omdirigeras offren till en annan webbplats som försöker kompromissa med datorn.

Eset sa tisdag att den nu har hittat versioner av Linux / Cdorked konstruerad för Lighttpd och Nginx webbservrar, både i stor utsträckning

[Ytterligare läsning: Så här tar du bort skadlig kod från din Windows-dator]

Marc-Etienne M. Leveille från Eset skrev att företaget hittills hittat 400 webbservrar, varav 50 är rankade i webbanalysföretaget Alexas 100 000 webbplatser.

"Vi vet fortfarande inte säkert hur denna skadliga programvara användes på webbservrarna," skrev Leveille. "En sak är klart, denna malware sprider inte sig själv och det utnyttjar inte en sårbarhet i en viss programvara."

Linux / Cdorked har varit aktiv sedan minst december. Det omdirigerar besökare till en annan kompromitterad webbplats som tillhandahåller Blackhole exploit kit, vilket är ett skadligt program som testar datorer för sårbarhet i programvaran.

Omdirigeringen serveras endast på datorer som använder Internet Explorer eller Firefox på Microsofts XP, Vista eller 7 operativsystem, Leveille skrev. Människor som använder en iPad eller iPhone är inte inriktade på exploateringspaketet, utan istället för pornografinsidor.

Mönstret för domännamnen där människor omdirigeras antyder att angriparna har äventyrat vissa DNS-domännamnsservrar, skriver Leveille.

Malware kommer inte heller att tjäna upp attacken om en person befinner sig i vissa IP-områden eller om "offrets webbläsares språk är inställt på japanska, finska, ryska och ukrainska, kazakiska eller vitryska", skrev Leveille.

"Vi tror att operatörerna bakom denna malware-kampanj gör betydande ansträngningar för att hålla sin verksamhet under radarn och förhindra övervakningsinsatser så mycket som möjligt", skrev Leveille. "För dem som inte upptäcks förefaller det vara en prioritet att infektera så många offer som möjligt."

Linux / Cdorked är smygigt men det är inte omöjligt att upptäcka. Det lämnar en modifierad httpd binär på hårddisken, som kan detekteras.

Men kommandon som skickas av attackerna till Linux / Cdorked loggas inte i de vanliga Apache-loggarna och omdirigeringen som skickar människor till en skadlig webbplats- körs bara i minnet och inte på hårddisken, skrev Eset förra veckan.