Forskningslaboratoriet 360 Netlab har rapporteret om opdagelsen af ny malware for Linux, der har fået kodename RotaJakiro, som inkluderer implementeringen af en backdoor, der muliggør kontrol af systemet. Malware kunne være installeret af angribere efter udnyttelse af uoprettede sårbarheder i systemet eller ved at krække usikre adgangskoder.
Backdoor blev opdaget under analysen af mistænkelig trafik fra en af systemprocesserne, der blev afsløret under analysen af strukturen af botnettet, der blev brugt til DDoS-angreb. Indtil nu var RotaJakiro forblevet uset i tre år, herunder de første forsøg på at kontrollere filer med MD5-hash, der svarer til den opdagede malware, datert til maj 2018.
En af RotaJakiros særlige træk er brugen af forskellige maskingteknikker, når den køres med relevante brugere og root-rettigheder. For at skjule sin tilstedeværelse brugte backdoor navne på processerne systemd-daemon, session-dbus og gvfsd-helper, som, i betragtning af den moderne Linux-distributioners overbelastning med forskellige systemprocesser, ved første øjekast virkede legitime og ikke vakte mistanke.
Når den køres med root-rettigheder, oprettes der scripts /etc/init/systemd-agent.conf og /lib/systemd/system/sys-temd-agent.service for at aktivere malware, mens selve den ondsindede eksekverbare fil placeres som /bin/systemd/systemd-daemon og /usr/lib/systemd/systemd-daemon (funktionaliteten blev duplikeret i to filer). Når den udføres som en almindelig bruger, anvendes autostartfilen $HOME/.config/au-tostart/gnomehelper.desktop, og der foretages ændringer i .bashrc, mens den eksekverbare fil er gemt som $HOME/.gvfsd/.profile/gvfsd-helper og $HOME/.dbus/sessions/session-dbus. Begge eksekverbare filer startes samtidigt, og hver af dem overvåger tilstedeværelsen af den anden og genopretter den i tilfælde af, at den afsluttes.
For at skjule resultaterne af sin aktivitet anvendte backdooren flere krypteringsalgoritmer, for eksempel blev AES brugt til at kryptere sine ressourcer, og for at skjule kommunikationskanalen til kontrolsystemet serveren en kombination af AES, XOR og ROTATE i kombination med kompression ved hjælp af ZLIB.
For controlling commands, the malware contacted 4 domains through network port 443 (the communication used its own protocol rather than HTTPS and TLS). The domains (cdn.mirror-codes.net, status.sublineover.net, blog.eduelects.com, and news.thaprior.net) were registered in 2015 and hosted by a Kyiv-based provider. hostingudbyder Deltahost. The backdoor integrated 12 basic functions that allowed uploading and executing plugins with extended functionality, transmitting device data, intercepting confidential data, and managing local files.
Kilde: opennet.ru
