RotaJakiro হল একটি নতুন লিনাক্স ম্যালওয়্যার যা একটি সিস্টেমড প্রক্রিয়া হিসাবে মাশকারেড করে

রিসার্চ ল্যাবরেটরি 360 নেটল্যাব লিনাক্সের জন্য নতুন ম্যালওয়্যার সনাক্তকরণের রিপোর্ট করেছে, যার কোডনাম রোটাজাকিরো এবং একটি ব্যাকডোর বাস্তবায়ন সহ যা আপনাকে সিস্টেম নিয়ন্ত্রণ করতে দেয়। ম্যালওয়্যারটি আক্রমণকারীরা সিস্টেমে অপ্রস্তুত দুর্বলতাগুলিকে কাজে লাগিয়ে বা দুর্বল পাসওয়ার্ড অনুমান করার পরে ইনস্টল করতে পারে৷

DDoS আক্রমণের জন্য ব্যবহৃত বটনেটের গঠন বিশ্লেষণের সময় চিহ্নিত সিস্টেম প্রক্রিয়াগুলির একটি থেকে সন্দেহজনক ট্র্যাফিকের বিশ্লেষণের সময় ব্যাকডোরটি আবিষ্কৃত হয়েছিল। এর আগে, RotaJakiro তিন বছর ধরে সনাক্ত করা যায়নি; বিশেষ করে, ভাইরাসটোটাল পরিষেবাতে চিহ্নিত ম্যালওয়ারের সাথে মিলে যাওয়া MD5 হ্যাশের সাথে ফাইল স্ক্যান করার প্রথম প্রচেষ্টা মে 2018 তারিখে করা হয়েছিল।

RotaJakiro এর বৈশিষ্ট্যগুলির মধ্যে একটি হল একটি সুবিধাহীন ব্যবহারকারী এবং রুট হিসাবে চলাকালীন বিভিন্ন ক্যামোফ্লেজ কৌশল ব্যবহার করা। এর উপস্থিতি আড়াল করার জন্য, ব্যাকডোরটি সিস্টেমড-ডেমন, সেশন-ডিবিস এবং জিভিএফএসডি-হেল্পার নামগুলি ব্যবহার করেছিল, যা, সমস্ত ধরণের পরিষেবা প্রক্রিয়া সহ আধুনিক লিনাক্স বিতরণের বিশৃঙ্খলার কারণে, প্রথম নজরে বৈধ বলে মনে হয়েছিল এবং সন্দেহ জাগিয়ে তোলেনি।

যখন রুট অধিকারের সাথে চালানো হয়, তখন ম্যালওয়্যার সক্রিয় করার জন্য স্ক্রিপ্ট /etc/init/systemd-agent.conf এবং /lib/systemd/system/sys-temd-agent.service তৈরি করা হয়েছিল, এবং ক্ষতিকারক এক্সিকিউটেবল ফাইলটি নিজেই / হিসাবে অবস্থিত ছিল। bin/systemd/systemd -daemon এবং /usr/lib/systemd/systemd-demon (কার্যকারিতা দুটি ফাইলে সদৃশ ছিল)। স্ট্যান্ডার্ড ব্যবহারকারী হিসাবে চালানোর সময়, অটোস্টার্ট ফাইল $HOME/.config/au-tostart/gnomehelper.desktop ব্যবহার করা হয়েছিল এবং .bashrc-এ পরিবর্তন করা হয়েছিল এবং এক্সিকিউটেবল ফাইলটি $HOME/.gvfsd/.profile/gvfsd হিসাবে সংরক্ষিত হয়েছিল। -হেল্পার এবং $HOME/ .dbus/sessions/session-dbus। উভয় এক্সিকিউটেবল ফাইল একই সাথে চালু করা হয়েছিল, যার প্রত্যেকটি অন্যটির উপস্থিতি নিরীক্ষণ করে এবং এটি বন্ধ হয়ে গেলে এটি পুনরুদ্ধার করে।

ব্যাকডোরে তাদের ক্রিয়াকলাপের ফলাফলগুলি আড়াল করার জন্য, বেশ কয়েকটি এনক্রিপশন অ্যালগরিদম ব্যবহার করা হয়েছিল, উদাহরণস্বরূপ, তাদের সংস্থানগুলিকে এনক্রিপ্ট করতে AES ব্যবহার করা হয়েছিল, এবং ZLIB ব্যবহার করে কম্প্রেশনের সাথে AES, XOR এবং ROTATE-এর সংমিশ্রণ যোগাযোগ চ্যানেল লুকানোর জন্য ব্যবহার করা হয়েছিল। নিয়ন্ত্রণ সার্ভারের সাথে।

কন্ট্রোল কমান্ড পাওয়ার জন্য, ম্যালওয়্যার নেটওয়ার্ক পোর্ট 4 এর মাধ্যমে 443টি ডোমেনের সাথে যোগাযোগ করেছে (যোগাযোগ চ্যানেলটি তার নিজস্ব প্রোটোকল ব্যবহার করেছে, HTTPS এবং TLS নয়)। ডোমেইনগুলি (cdn.mirror-codes.net, status.sublineover.net, blog.eduelects.com এবং news.thaprior.net) 2015 সালে নিবন্ধিত হয়েছিল এবং Kyiv হোস্টিং প্রদানকারী Deltahost দ্বারা হোস্ট করা হয়েছিল। 12টি মৌলিক ফাংশন ব্যাকডোরে একত্রিত করা হয়েছিল, যা উন্নত কার্যকারিতা সহ প্লাগইনগুলি লোড করা এবং কার্যকর করা, ডিভাইস ডেটা প্রেরণ, সংবেদনশীল ডেটা আটকানো এবং স্থানীয় ফাইলগুলি পরিচালনা করার অনুমতি দেয়।

উত্স: opennet.ru