Výzkumná laboratoř 360 Netlab oznámila zjištění nového malware pro Linux, který dostal kódové jméno RotaJakiro a zahrnuje implementaci backdooru, jež umožňuje řízení systému. Malware mohl být nainstalován útočníky po zneužití neopravovaných zranitelností v systému nebo použití slabých hesel.
Backdoor byl odhalen během analýzy podezřelého provozu od jednoho z systémových procesů, který byl identifikován při zkoumání struktury botnetu používaného pro DDoS útok. Předtím zůstal RotaJakiro nenápadný po dobu tří let, konkrétně první pokusy o kontroly souborů s MD5 hashi, které odpovídają zjištěnému malwaru, jsou datovány k květnu 2018.
Mezi vlastnostmi RotaJakiro se uvádí použití různých technik maskování při spuštění s oprávněními neprivilegovaného uživatele a root. Pro skrytí své přítomnosti backdoor používal názvy procesů systemd-daemon, session-dbus a gvfsd-helper, které, s ohledem na zaplnění moderních distribucí Linux různými pomocnými procesy, na první pohled vypadaly legitimně a nevzbuzovaly podezření.
Při spuštění s oprávněními root byly pro aktivaci malwaru vytvářeny skripty /etc/init/systemd-agent.conf a /lib/systemd/system/sys-temd-agent.service, a samotný spustitelný soubor byl umístěn jako /bin/systemd/systemd-daemon a /usr/lib/systemd/systemd-daemon (funkčnost byla duplikována ve dvou souborech). Při provádění s oprávněními běžného uživatele byl použit soubor pro automatické spouštění $HOME/.config/au-tostart/gnomehelper.desktop a prováděny změny v .bashrc, přičemž spustitelný soubor byl uchováván jako $HOME/.gvfsd/.profile/gvfsd-helper a $HOME/.dbus/sessions/session-dbus. Současně byly spuštěny oba spustitelné soubory, přičemž každý z nich sledoval přítomnost druhého a obnovoval ho v případě jeho ukončení.
Pro skrytí výsledků své činnosti v backdooru bylo použito několik šifrovacích algoritmů, například pro šifrování svých zdrojů se používal AES, a pro skrytí komunikačního kanálu s útočníkem serverem kombinace AES, XOR a ROTATE v kombinaci se zapojením ZLIB.
Pro získání ovládacích příkazů se malware spojoval se 4 doménami přes síťový port 443 (v komunikačním kanálu byl použit vlastní protokol, nikoli HTTPS a TLS). Domény (cdn.mirror-codes.net, status.sublineover.net, blog.eduelects.com a news.thaprior.net) byly zaregistrovány v roce 2015 a umístěny u kyjevského hostingového poskytovatele Deltahost. Do backdooru bylo integrováno 12 základních funkcí, které umožňovaly nahrávat a vykonávat pluginy s rozšířenou funkčností, přenášet údaje o zařízení, zachytávat důvěrné informace a spravovat místní soubory.
Zdroj: opennet.ru
