Исследователи Check Point и Certego обнаружили новый вариант вредоносного ПО для серверов под управлением Linux и Windows. RubyMiner представляет собой майнер криптовалюты Monero, предназначенный для атак на устаревшие серверы. Атаки с его использованием начались 9-10 января 2018 года. Для поиска уязвимых web-серверов операторы майнера используют инструмент p0f. Обнаружив сервер с устаревшим ПО, злоумышленники эксплуатируют следующие известные уязвимости: выполнение кода в фреймворке Ruby on Rails ( CVE-2013-0156 ), выполнение кода в PHP php-cgi ( CVE-2012-1823, CVE-2012-2311 , CVE-2012-2335, CVE-2012-2336 и CVE-2013-4878) и раскрытие исходного кода в Microsoft IIS ASP (CVE-2005-2678). Исследователи отметили ряд отличительных черт атак с использованием RubyMiner: По данным Check Point, RubyMiner уже инфицировал порядка 700 серверов. В загружаемой вредоносом кастомизированной версии XMRig исследователи нашли адрес криптовалютного кошелька. Судя по нему, операторы уже успели заработать на майнинге порядка $540. P0f – инструмент, использующий массив сложных, исключительно пассивных механизмов снятия отпечатков трафика для идентификации игроков, стоящих за любым случайным TCP/IP соединением, без какого-либо вмешательства. cron – классический демон, использующийся для периодического выполнения заданий в определенное время. Регулярные действия описываются инструкциями, помещенными в файлы crontab и в специальные директории.