Simbiote হল Linux ম্যালওয়্যার যা লুকানোর জন্য eBPF এবং LD_PRELOAD ব্যবহার করে

Intezer এবং BlackBerry-এর গবেষকরা Simbiote কোডনামযুক্ত ম্যালওয়্যার আবিষ্কার করেছেন, যা লিনাক্স চালিত আপোসকৃত সার্ভারগুলিতে ব্যাকডোর এবং রুটকিটগুলি ইনজেকশন করতে ব্যবহৃত হয়। ল্যাটিন আমেরিকার বেশ কয়েকটি দেশের আর্থিক প্রতিষ্ঠানের সিস্টেমে ম্যালওয়্যার সনাক্ত করা হয়েছে। একটি সিস্টেমে Simbiote ইনস্টল করার জন্য, একজন আক্রমণকারীর অবশ্যই রুট অ্যাক্সেস থাকতে হবে, যা প্রাপ্ত করা যেতে পারে, উদাহরণস্বরূপ, আনপ্যাচড দুর্বলতা বা অ্যাকাউন্ট ফাঁসকে কাজে লাগানোর ফলে। Simbiote আপনাকে হ্যাকিংয়ের পরে সিস্টেমে আপনার উপস্থিতি একত্রিত করার অনুমতি দেয় আরও আক্রমণ চালাতে, অন্যান্য দূষিত অ্যাপ্লিকেশনগুলির কার্যকলাপ লুকিয়ে রাখতে এবং গোপনীয় ডেটার বাধা সংগঠিত করতে।

Simbiote-এর একটি বিশেষ বৈশিষ্ট্য হল এটি একটি শেয়ার্ড লাইব্রেরি আকারে বিতরণ করা হয়, যা LD_PRELOAD মেকানিজম ব্যবহার করে সমস্ত প্রক্রিয়া শুরু করার সময় লোড হয় এবং কিছু কলগুলিকে স্ট্যান্ডার্ড লাইব্রেরিতে প্রতিস্থাপন করে। স্পুফড কল হ্যান্ডলাররা ব্যাকডোর-সম্পর্কিত ক্রিয়াকলাপ লুকিয়ে রাখে, যেমন প্রক্রিয়া তালিকায় নির্দিষ্ট আইটেমগুলি বাদ দেওয়া, /proc-এ নির্দিষ্ট ফাইলগুলিতে অ্যাক্সেস ব্লক করা, ডিরেক্টরিতে ফাইলগুলি লুকানো, ldd আউটপুটে দূষিত শেয়ার্ড লাইব্রেরি বাদ দেওয়া (execve ফাংশন হাইজ্যাক করা এবং কল বিশ্লেষণ করা পরিবেশ পরিবর্তনশীল LD_TRACE_LOADED_OBJECTS) ক্ষতিকারক কার্যকলাপের সাথে যুক্ত নেটওয়ার্ক সকেট দেখায় না।

ট্র্যাফিক পরিদর্শন থেকে রক্ষা করার জন্য, libpcap লাইব্রেরি ফাংশনগুলিকে পুনরায় সংজ্ঞায়িত করা হয়, /proc/net/tcp রিড ফিল্টারিং এবং একটি eBPF প্রোগ্রাম কার্নেলে লোড করা হয়, যা ট্র্যাফিক বিশ্লেষকগুলির কাজকে বাধা দেয় এবং তার নিজস্ব নেটওয়ার্ক হ্যান্ডলারদের কাছে তৃতীয় পক্ষের অনুরোধগুলি বাতিল করে। ইবিপিএফ প্রোগ্রামটি প্রথম প্রসেসরগুলির মধ্যে চালু করা হয় এবং নেটওয়ার্ক স্ট্যাকের সর্বনিম্ন স্তরে কার্যকর করা হয়, যা আপনাকে পরবর্তীতে লঞ্চ করা বিশ্লেষকগুলি সহ ব্যাকডোরের নেটওয়ার্ক কার্যকলাপ লুকানোর অনুমতি দেয়।

সিমবিওট আপনাকে ফাইল সিস্টেমে কিছু কার্যকলাপ বিশ্লেষককে বাইপাস করার অনুমতি দেয়, যেহেতু গোপনীয় ডেটা চুরি ফাইল খোলার স্তরে নয়, তবে বৈধ অ্যাপ্লিকেশনগুলিতে এই ফাইলগুলি থেকে পঠিত ক্রিয়াকলাপগুলিকে বাধা দেওয়ার মাধ্যমে করা যেতে পারে (উদাহরণস্বরূপ, লাইব্রেরির প্রতিস্থাপন ফাংশনগুলি আপনাকে ব্যবহারকারীকে একটি পাসওয়ার্ড প্রবেশ করানো বা অ্যাক্সেস কী সহ একটি ফাইল ডেটা থেকে লোড করতে বাধা দিতে দেয়)। দূরবর্তী লগইন সংগঠিত করতে, Simbiote কিছু PAM কল (প্লাগেবল প্রমাণীকরণ মডিউল) বাধা দেয়, যা আপনাকে কিছু আক্রমণকারী শংসাপত্র সহ SSH এর মাধ্যমে সিস্টেমের সাথে সংযোগ করতে দেয়। HTTP_SETTHIS এনভায়রনমেন্ট ভেরিয়েবল সেট করে রুট ব্যবহারকারীর কাছে আপনার সুবিধা বাড়ানোর জন্য একটি লুকানো বিকল্পও রয়েছে।

উত্স: opennet.ru