Das Forschungslabor 360 Netlab berichtete über die Entdeckung neuer schadhafter Software für Linux, die den Codenamen RotaJakiro trägt und ein Backdoor-System enthält, das die Kontrolle über das System ermöglicht. Die schadhafte Software könnte von Angreifern nach der Ausnutzung ungepatchter Schwachstellen im System oder durch das Knacken unsicherer Passwörter installiert worden sein.
Das Backdoor wurde während einer Analyse des verdächtigen Datenverkehrs eines der Systemprozesse entdeckt, die bei der Untersuchung der Botnet-Struktur verwendet wurden, die für DDoS-Angriffe genutzt wird. Zuvor war RotaJakiro über einen Zeitraum von drei Jahren unentdeckt geblieben; insbesondere datieren die ersten Überprüfungsversuche von Dateien mit MD5-Hashes, die mit der entdeckten schadhaften Software übereinstimmen, auf Mai 2018.
Zu den Besonderheiten von RotaJakiro gehört die Verwendung verschiedener Tarntechniken beim Start mit privilegierten und root-Rechten. Um seine Präsenz zu verbergen, verwendete das Backdoor die Prozessnamen systemd-daemon, session-dbus und gvfsd-helper, die, angesichts der Überfüllung moderner Linux-Distributionen mit verschiedenen Systemprozessen, auf den ersten Blick legitim wirkten und keinen Verdacht erregten.
Beim Start mit root-Rechten wurden Skripte erstellt, um die schadhafte Software zu aktivieren: /etc/init/systemd-agent.conf und /lib/systemd/system/sys-temd-agent.service, während die schadhafte ausführbare Datei als /bin/systemd/systemd-daemon und /usr/lib/systemd/systemd-daemon abgelegt wurde (die Funktionalität wurde in zwei Dateien dupliziert). Wenn sie mit den Rechten eines normalen Benutzers ausgeführt wurde, wurde die Autostart-Datei $HOME/.config/autostart/gnomehelper.desktop verwendet und Änderungen an .bashrc vorgenommen, während die ausführbare Datei als $HOME/.gvfsd/.profile/gvfsd-helper und $HOME/.dbus/sessions/session-dbus gespeichert wurde. Beide ausführbaren Dateien wurden gleichzeitig gestartet, wobei jede die andere überwachte und sie im Falle des Abbruchs wiederherstellte.
Um die Ergebnisse seiner Aktivitäten zu verbergen, verwendete das Backdoor mehrere Verschlüsselungsalgorithmen; zum Beispiel wurde für die Verschlüsselung seiner Ressourcen AES eingesetzt, während zur Verbergung des Kommunikationskanals mit dem Controller Server eine Kombination aus AES, XOR und ROTATE in Verbindung mit der Komprimierung durch ZLIB angewendet wurde.
Um Steuerbefehle zu erhalten, wandte sich die Malware an 4 Domänen über den Netzwerkport 443 (im Kommunikationskanal wurde ein proprietäres Protokoll anstelle von HTTPS und TLS verwendet). Die Domänen (cdn.mirror-codes.net, status.sublineover.net, blog.eduelects.com und news.thaprior.net) wurden 2015 registriert und bei Kiewer Deltahost gehostet. Hosting-Anbieter Im Backdoor waren 12 grundlegende Funktionen integriert, die es ermöglichten, Plugins mit erweiterten Funktionen herunterzuladen und auszuführen, Gerätedaten zu übertragen, vertrauliche Informationen abzufangen und lokale Dateien zu verwalten.
Quelle: opennet.ru
