Simbiote — зловреден софтуер за Linux, използващ eBPF и LD_PRELOAD за скриване

Изследователи от компаниите Intezer и BlackBerry откриха зловреден софтуер с кодово име Simbiote, използван за внедряване на бекдори и rootkit-ове на компрометирани сървъри, работещи с Linux. Зловредният софтуер беше открит в системите на финансови институции в няколко латиноамерикански държави. За инсталирането на Simbiote в системата атакувачът трябва да има root-достъп, който може да бъде получен, например, в резултат на експлоатация на неотстранени уязвимости или изтичане на акаунти. Simbiote позволява да се закрепи присъствието си в системата след хакване, за да се осъществят последващи атаки, да се скрият активността на други зловредни приложения и да се организира прихващането на конфиденциални данни.

Особеност на Simbiote е разпространението му под формата на споделена библиотека, която се зарежда при стартиране на всички процеси с помощта на механизма LD_PRELOAD и подменя някои извиквания на стандартната библиотека. Обработчиците на подменените извиквания скриват свързаната с бекдора активност, например, изключват отделни елементи от списъка с процеси, блокират достъпа до определени файлове в /proc, скриват файлове в директории, изключват зловредната споделена библиотека в изхода от ldd (извършва се прихващане на функцията execve и анализ на извикванията с променливата на средата LD_TRACE_LOADED_OBJECTS), не показват свързаните със зловредната активност мрежови сокети.

За защита от инспектиране на трафика се извършва преопределяне на функциите на библиотеката libpcap, филтриране на четенето на /proc/net/tcp и зареждане в ядрото на eBPF-програми, които възпрепятстват работата на анализаторите на трафика и отхвърлят външни заявки към собствените мрежови обработчици. eBPF-програмата се стартира сред първите обработчици и се изпълнява на най-ниското ниво на мрежовия стек, което позволява да се скрие мрежовата активност на бекдора дори от анализаторите, стартирани по-късно.

Simbiote също така позволява да се заобиколят определени анализатори на активността във файловата система, тъй като кражбата на конфиденциални данни може да се осъществява не на ниво отваряне на файлове, а чрез прихващане на операции по четене от тези файлове в легитимни приложения (например, подмяната на библиотечни функции позволява прихващане на входа на парола от потребителя или данни, изтегляни от файл с достъпен ключ). За организиране на отдалечен вход, Simbiote прихваща някои PAM-викания (Pluggable Authentication Module), което позволява свързване към системата чрез SSH с определени атакуващи удостоверения. Предвидена е и скрита възможност за повишаване на привилегиите до потребител root чрез задаване на променлива на средата HTTP_SETTHIS.

Източник: opennet.ru