Simbiote е злонамерен софтуер за Linux, който използва eBPF и LD_PRELOAD за скриване

Изследователи от Intezer и BlackBerry са открили зловреден софтуер с кодово име Simbiote, който се използва за инжектиране на задни вратички и руткитове в компрометирани сървъри, работещи под Linux. Беше открит зловреден софтуер в системите на финансови институции в няколко страни от Латинска Америка. За да инсталира Simbiote на система, атакуващият трябва да има root достъп, който може да бъде получен например в резултат на използване на неотстранени уязвимости или изтичане на акаунти. Simbiote ви позволява да консолидирате присъствието си в системата след хакване, за да извършите допълнителни атаки, да скриете активността на други злонамерени приложения и да организирате прихващането на поверителни данни.

Специална характеристика на Simbiote е, че се разпространява под формата на споделена библиотека, която се зарежда по време на стартирането на всички процеси с помощта на механизма LD_PRELOAD и замества някои извиквания към стандартната библиотека. Фалшивите манипулатори на обаждания крият дейност, свързана със задната врата, като изключване на конкретни елементи в списъка с процеси, блокиране на достъпа до определени файлове в /proc, скриване на файлове в директории, изключване на злонамерена споделена библиотека в ldd изход (отвличане на функцията execve и анализиране на повиквания с променлива на средата LD_TRACE_LOADED_OBJECTS) не показват мрежови сокети, свързани със злонамерена дейност.

За защита срещу проверка на трафика функциите на библиотеката libpcap са предефинирани, /proc/net/tcp филтриране на четене и eBPF програма се зарежда в ядрото, което предотвратява работата на анализаторите на трафика и отхвърля заявките на трети страни към собствените си мрежови манипулатори. Програмата eBPF се стартира сред първите процесори и се изпълнява на най-ниското ниво на мрежовия стек, което ви позволява да скриете мрежовата активност на задната врата, включително от анализатори, стартирани по-късно.

Simbiote също ви позволява да заобиколите някои анализатори на активност във файловата система, тъй като кражбата на поверителни данни може да се извърши не на ниво отваряне на файлове, а чрез прихващане на операции за четене от тези файлове в легитимни приложения (например заместване на библиотека функции ви позволява да прихванете потребителя, който въвежда парола или зарежда от файл данни с ключ за достъп). За да организира отдалечено влизане, Simbiote прихваща някои PAM повиквания (Pluggable Authentication Module), което ви позволява да се свържете към системата чрез SSH с определени атакуващи идентификационни данни. Има също така скрита опция за увеличаване на вашите привилегии към потребителя root чрез задаване на променливата на средата HTTP_SETTHIS.

Източник: opennet.ru