Изследователската лаборатория 360 Netlab съобщи за откритие на нов зловреден софтуер за Linux, получил кодовото име RotaJakiro, който включва реализация на бекдор, позволяващ управление на системата. Зловредният софтуер може да е бил инсталиран от атакуващите след експлоатация на неизправени уязвимости в системата или чрез подбиране на ненадеждни пароли.
Бекдорът беше открит по време на анализа на подозрителен трафик от един от системните процеси, идентифициран при разбор на структурата на ботнет, използван за DDoS атака. Преди това RotaJakiro остана незабелязан в продължение на три години, като първите опити за проверка в услугата VirusTotal на файлове с MD5 хешове, съответстващи на открития зловреден софтуер, са датирани от май 2018 година.
Сред особеностите на RotaJakiro е използването на различни техники за маскировка при стартиране с права на ненадежден потребител и root. За скриване на присъствието си бекдорът използва имена на процеси, като systemd-daemon, session-dbus и gvfsd-helper, които, с оглед на препълването на съвременните дистрибуции на Linux с разнообразни служебни процеси, на пръв поглед изглеждат легитимни и не пораждат подозрения.
При стартиране с права на root за активиране на зловредния софтуер се създаваха скриптове /etc/init/systemd-agent.conf и /lib/systemd/system/systemd-agent.service, като самият зловреден изпълним файл се поставяше като /bin/systemd/systemd-daemon и /usr/lib/systemd/systemd-daemon (функционалността се дублираше в два файла). При изпълнение с права на обикновен потребител се използваше файл за автоматично стартиране $HOME/.config/autostart/gnomehelper.desktop, внасяха се промени в .bashrc, а изпълнимият файл се запазваше като $HOME/.gvfsd/.profile/gvfsd-helper и $HOME/.dbus/sessions/session-dbus. И двата изпълними файла се стартираха едновременно, като всеки от тях следеше наличието на другия и го възстановяваше в случай на прекратяване на работата.
За скриване на резултатите от дейността си бекдорът прилагаше няколко алгоритма за криптиране, например, за криптиране на своите ресурси се използваше AES, а за скриване на канала за комуникация с управляващия сървър комбинация от AES, XOR и ROTATE в комбинация със компресия с помощта на ZLIB.
За да получи управляващи команди, злонамереният софтуер се свързва с 4 домейна през мрежов порт 443 (в комуникационния канал се използваше собствен протокол, а не HTTPS и TLS). Домейните (cdn.mirror-codes.net, status.sublineover.net, blog.eduelects.com и news.thaprior.net) са регистрирани през 2015 година и са хоствани от киевския хостинг-доставчик Deltahost. В бекдорда са интегрирани 12 основни функции, които позволяват зареждането и изпълнението на плъгини с разширена функционалност, предаване на данни за устройството, прихващане на конфиденциални данни и управление на локални файлове.
Източник: opennet.ru
