Simbiote — Malware für Linux, die eBPF und LD_PRELOAD zur Tarnung verwendet.

Forscher der Unternehmen Intezer und BlackBerry haben Malware entdeckt, die den Codenamen Simbiote trägt und zum Eindringen von Backdoors und Rootkits auf kompromittierte Server, die unter Linux betrieben werden, verwendet wird. Die Malware wurde in den Systemen von Finanzinstituten in mehreren Ländern Lateinamerikas identifiziert. Um Simbiote im System zu installieren, muss der Angreifer Root-Zugriff erhalten, der beispielsweise durch die Ausnutzung ungepatchter Schwachstellen oder durch das Leaken von Kontodaten erlangt werden kann. Simbiote ermöglicht es, die Präsenz im System nach einem Angriff zu festigen, um weitere Angriffe durchzuführen, die Aktivitäten anderer schädlicher Anwendungen zu verbergen und die Abgreifung vertraulicher Daten zu organisieren.

Ein besonderes Merkmal von Simbiote ist die Verbreitung in Form einer Shared Library, die beim Start aller Prozesse mittels des LD_PRELOAD-Mechanismus geladen wird und einige Aufrufe der Standardbibliothek ersetzt. Die Handlers der ersetzten Aufrufe verbergen die mit dem Backdoor verbundenen Aktivitäten, beispielsweise indem sie bestimmte Elemente in der Prozessliste ausschließen, den Zugriff auf bestimmte Dateien in /proc blockieren, Dateien in Verzeichnissen verbergen und die schädliche Shared Library im Output von ldd ausschließen (es erfolgt eine Abfangung der Funktion execve und eine Analyse der Aufrufe mit der Umgebungsvariable LD_TRACE_LOADED_OBJECTS), und sie zeigen nicht die mit der schädlichen Aktivität verbundenen Netzwerksockets an.

Um den Verkehr zu schützen, wird eine Umdefinition der Funktionen der libpcap-Bibliothek durchgeführt, das Lesen von /proc/net/tcp gefiltert und ein eBPF-Programm in den Kernel geladen, das die Funktion von Verkehrsanalyzern behindert und fremde Anfragen an die eigenen Netzwerk-Handler abweist. Das eBPF-Programm wird als eines der ersten Handlers ausgeführt und läuft auf der niedrigsten Ebene des Netzwerk-Stacks, was es ermöglicht, die Netzwerkaktivität des Backdoors auch vor später gestarteten Analyzern zu verbergen.

Simbiote ermöglicht es auch, einige Aktivitätsanalysatoren im Dateisystem zu umgehen, da der Diebstahl vertraulicher Daten nicht auf der Ebene des Öffnens von Dateien erfolgt, sondern durch das Abfangen von Lesevorgängen aus diesen Dateien in legitimen Anwendungen (zum Beispiel ermöglicht das Überschreiben von Bibliotheksfunktionen das Abfangen der Benutzereingabe eines Passworts oder von aus einer Datei geladenen Daten mit einem Zugriffsschlüssel). Um einen Remote-Zugang zu organisieren, fängt Simbiote einige PAM-Aufrufe (Pluggable Authentication Module) ab, die es ermöglichen, sich mit bestimmten Angreiferanmeldeinformationen über SSH mit dem System zu verbinden. Es besteht auch die versteckte Möglichkeit, die eigenen Privilegien auf den Benutzer root durch Setzen der Umgebungsvariable HTTP_SETTHIS zu erhöhen.

Quelle: opennet.ru