RotaJakiro — uus pahavara Linuxile, mis maskeerib end systemd protsessina.

Uurimislabor 360 Netlab teatas, et nad on tuvastanud uue pahavara Linuxile, mille koodnimi on RotaJakiro ja mis sisaldab tagauksed süsteemi kontrollimiseks. Pahavara võis ründajate poolt installida, kasutades ära parandamata haavatavusi süsteemis või nõrkade paroolide mahavõtmisega.

Tagauks tuvastati kahtlase liikluse analüüsi käigus, mis pärines ühest süsteemiprotsessist, mis avastati DDoS-rünnakuks kasutatava botneti struktuuri uurimisel. Enne seda oli RotaJakiro olnud kolm aastat märkamatuks, sealhulgas esimesed katsed kontrollida VirusTotal teenuses MD5-hashidega faile, mis vastavad tuvastatud pahavarale, ulatuvad 2018. aasta maikuusse.

RotaJakiro eripäraks on erinevate maskeerimistehnikate kasutamine, käivitades ilma privileegideta kasutaja ja root õigustega. Oma kohaloleku varjamiseks kasutas tagauks protsesside nimesid nagu systemd-daemon, session-dbus ja gvfsd-helper, mis, arvestades tänapäevaste Linuxi distributsioonide koormust erinevate teenusprotsessidega, näis alguses olevat seaduslikud ja ei tekitanud kahtlusi.

Root õigustega käivitamisel loodi pahavara aktiveerimiseks skriptid /etc/init/systemd-agent.conf ja /lib/systemd/system/sys-temd-agent.service ning ise pahavara täidetav fail paigutati kui /bin/systemd/systemd-daemon ja /usr/lib/systemd/systemd-daemon (funktsioonaliteet dubleeritakse kahes failis). Tavalise kasutaja õigustega käivitamisel kasutati automaatkäivitamise faili $HOME/.config/au-tostart/gnomehelper.desktop ja muudeti .bashrc, samas kui täidetav fail salvestati kui $HOME/.gvfsd/.profile/gvfsd-helper ja $HOME/.dbus/sessions/session-dbus. Samal ajal käivitati mõlemat täidetavat faili, millest igaüks jälgis teise olemasolu ja taastas selle, kui see lõpetas oma töö.

Oma tegevuse tulemuste varjamiseks rakendati tagaukses mitmeid krüptimise algoritme, näiteks krüptiti oma ressursse AES-iga ja varjati suhtluskanalit kontrollijaga. serverilt AES, XOR ja ROTATE kombo koos ZLIB abil surumisega.

Omandi kogumikud küsiti 4 domeenilt läbi võrgupordi 443 (sidekanalis kasutati oma protokolli, mitte HTTPS-i ega TLS-i). Domeenid (cdn.mirror-codes.net, status.sublineover.net, blog.eduelects.com ja news.thaprior.net) olid registreeritud 2015. aastal ja maapealsed Kiievis. hostimise teenusepakkuja Deltahost. Tagauksel oli integreeritud 12 põhifunktsiooni, mis võimaldasid laadida ja käitada pluginaid, millel oli täiendav funktsionaalsus, edastada seadme andmeid, salajasi andmeid nuhkida ja kohalikke faile hallata.

Allikas: opennet.ru