Еще в марте 2014 года специалисты ESET, совместно с экспертной группой CERT-Bund и исследовательским центром SNIC, опубликовали отчет об «Операции Windigo». Тогда эксперты выяснили, что вредоносная киберкампания продолжалась как минимум с 2011 года. В течение нескольких лет операторы ботнета скомпрометировали более 25 000 Linux- и UNIX-серверов, а также устройства на базе ОС Windows, OS X, OpenBSD, FreeBSD и Linux. Среди пострадавших числись такие организации, как cPanel и Linux Foundation.
Основным компонентом «Операции Windigo» был OpenSSH-бэкдор и инструмент кражи данных Linux/Ebury, установленный на десятки тысяч серверов. С его помощью атакующие загружали в скомпрометированные системы дополнительные программы для кражи учетных данных, перенаправления трафика на вредоносный контент, заражения пользователей и рассылки спама.
Суммарно Ebury инфицировал более 500 000 компьютеров и 25 000 серверов. Ботнет мог рассылать 35 000 000 спамерских писем ежедневно, и перенаправлять более 500 000 человек на вредоносные сайты.
В августе 2015 года в Финляндии года был арестован житель Великого Новгорода Максим Сенах, один из подозреваемых в организации ботнета Windigo. В итоге Сенаха экстрадировали в США, и в марте 2017 года он признал свою вину в нарушении закона о компьютерном мошенничестве и злоупотреблении, а в августе текущего года была приговорен к 46 месяцам тюремного заключения.
Вскоре после ареста Сенаха система телеметрии ESET показала снижение активности одного из компонентов ботнета – вредоносной программы Linux/Cdorked, предназначенной для перенаправления веб-трафика. Как было установлено впоследствии, Сенах получал прибыль от этого вида вредоносной деятельности Windigo. Активность Linux/Cdorked до настоящего времени не возобновлена.
Тем не менее, ботнет Windigo продолжает работу. Например, исследователи обнаруживают новые версии программы Win32/Glupteba, также связанной с Windigo и отвечающей в составе ботнета за рассылку спама.
Наконец, в феврале 2017 года специалисты ESET обнаружили новый образец Ebury (версия 1.6), получивший ряд существенных доработок. Исследователи говорят, что теперь Ebury использует новый алгоритм генерации доменов (DGA) для передачи украденной информации. Также авторы малвари предусмотрели методы самомаскировки и новые способы внедрения в процессы, связанные с OpenSSH. Новые функции были добавлены в версии 1.6, но по неизвестным причинам они доступны не во всех изученных образцах данной версии.
Кроме того, исследователи полагают, что операторы Windigo изучают доклады поставщиков решений для безопасности и дорабатывают свои вредоносные инструменты, чтобы обходить индикаторы заражения и избегать обнаружения.
«Если вы определили зараженную машину, рекомендуем произвести полную переустановку системы, поскольку Windigo иногда устанавливает дополнительные вредоносные программы. Машина, скомпрометированная Ebury, может быть заражена и другой малварью. Кроме того, считайте, что все учетные данные пользователя и ключи SSH скомпрометированы – смените их все», — резюмируют специалисты.
