Campanha maliciosa compromete servidores NGINX e redireciona tráfego

Pesquisadores do DataDog Security Labs descobriram uma campanha de ciberataques que compromete servidores NGINX, redirecionando o tráfego de usuários por meio da infraestrutura do atacante. O NGINX, um software de gerenciamento de tráfego web amplamente utilizado, é alvo de modificações em seus arquivos de configuração, onde blocos maliciosos são injetados. Esses blocos capturam requisições em URLs selecionadas e as redirecionam para domínios controlados pelos atacantes, utilizando a diretiva ‘proxy_pass’, que normalmente é usada para balanceamento de carga e, portanto, não aciona alertas de segurança.

A campanha afeta principalmente instalações do NGINX e painéis de gerenciamento Baota, focando em sites com domínios de nível superior asiáticos e sites governamentais e educacionais. O ataque é realizado em cinco etapas, começando com um script controlador que baixa e executa os demais estágios, que incluem a injeção de configurações e a validação de mudanças. A dificuldade em detectar esses ataques se deve ao fato de que não exploram vulnerabilidades do NGINX, mas sim ocultam instruções maliciosas em arquivos de configuração que raramente são analisados. O tráfego do usuário ainda chega ao destino pretendido, dificultando a percepção do redirecionamento malicioso.

Fonte: https://www.bleepingcomputer.com/news/security/hackers-compromise-nginx-servers-to-redirect-user-traffic/

Este conteúdo foi processado automaticamente pelo BR Defense Center (By River de Morais e Silva).