{"id":100066,"date":"2021-04-30T16:23:09","date_gmt":"2021-04-30T14:23:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/rotajakiro-novoe-vredonosnoe-po-dlya-linux-maskiruyushheesya-pod-proczess-systemd"},"modified":"2021-04-30T16:23:09","modified_gmt":"2021-04-30T14:23:09","slug":"rotajakiro-novoe-vredonosnoe-po-dlya-linux-maskiruyushheesya-pod-proczess-systemd","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/rotajakiro-novoe-vredonosnoe-po-dlya-linux-maskiruyushheesya-pod-proczess-systemd","title":{"rendered":"RotaJakiro — un nouveau logiciel malveillant pour Linux, se faisant passer pour un processus systemd","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Le laboratoire de recherche 360 Netlab a signal\u00e9 la d\u00e9couverte d'un nouveau logiciel malveillant pour Linux, re\u00e7u sous le nom de code RotaJakiro, qui comprend une impl\u00e9mentation d'un backdoor permettant de contr\u00f4ler le syst\u00e8me. Ce logiciel malveillant aurait pu \u00eatre install\u00e9 par des attaquants apr\u00e8s avoir exploit\u00e9 des vuln\u00e9rabilit\u00e9s non corrig\u00e9es dans le syst\u00e8me ou par le biais de mots de passe peu s\u00fbrs. <\/p>\n

Le backdoor a \u00e9t\u00e9 d\u00e9tect\u00e9 suite \u00e0 l'analyse d'un trafic suspect provenant de l'un des processus syst\u00e8me, identifi\u00e9 lors de l'analyse d'une structure de botnet utilis\u00e9 pour une attaque DDoS. Avant cela, RotaJakiro \u00e9tait rest\u00e9 inaper\u00e7u pendant trois ans, notamment les premi\u00e8res tentatives de v\u00e9rification dans le service VirusTotal des fichiers avec des hash MD5 correspondant au logiciel malveillant a \u00e9t\u00e9 dat\u00e9e de mai 2018. <\/p>\n

Parmi les caract\u00e9ristiques de RotaJakiro, on note l'utilisation de diverses techniques de dissimulation lors de l'ex\u00e9cution avec les droits d'un utilisateur non privil\u00e9gi\u00e9 et root. Pour cacher sa pr\u00e9sence, le backdoor a utilis\u00e9 des noms de processus tels que systemd-daemon, session-dbus et gvfsd-helper, qui, compte tenu de l'encombrement des distributions modernes de Linux avec divers processus syst\u00e8mes, semblaient l\u00e9gitimes au premier abord et ne suscitait pas de soup\u00e7ons. <\/p>\n

Lors de son ex\u00e9cution avec les droits root, le logiciel malveillant cr\u00e9ait des scripts \/etc\/init\/systemd-agent.conf et \/lib\/systemd\/system\/sys-temd-agent.service, tandis que le fichier ex\u00e9cutable malveillant \u00e9tait plac\u00e9 sous \/bin\/systemd\/systemd-daemon et \/usr\/lib\/systemd\/systemd-daemon (la fonctionnalit\u00e9 \u00e9tait dupliqu\u00e9e dans les deux fichiers). Lorsqu'il s'ex\u00e9cutait avec les droits d'un utilisateur standard, il utilisait le fichier de d\u00e9marrage automatique $HOME\/.config\/au-tostart\/gnomehelper.desktop, effectuait des modifications dans .bashrc, et le fichier ex\u00e9cutable \u00e9tait enregistr\u00e9 sous $HOME\/.gvfsd\/.profile\/gvfsd-helper et $HOME\/.dbus\/sessions\/session-dbus. Les deux fichiers ex\u00e9cutables \u00e9taient lanc\u00e9s simultan\u00e9ment, chacun surveillant la pr\u00e9sence de l'autre et le restaurant en cas d'arr\u00eat. <\/p>\n

Pour cacher les r\u00e9sultats de ses activit\u00e9s, le backdoor utilisait plusieurs algorithmes de cryptographie, par exemple, le chiffrement de ses ressources \u00e9tait effectu\u00e9 par AES, tandis que le canal de communication avec le contr\u00f4leur \u00e9tait dissimul\u00e9. serveur<\/a> une combinaison d'AES, XOR et ROTATE, associ\u00e9e \u00e0 une compression via ZLIB. <\/p>\n

Pour ex\u00e9cuter des commandes de gestion, le logiciel malveillant a contact\u00e9 4 domaines via le port r\u00e9seau 443 (un protocole propri\u00e9taire \u00e9tait utilis\u00e9 dans le canal de communication, et non HTTPS et TLS). Les domaines (cdn.mirror-codes.net, status.sublineover.net, blog.eduelects.com et news.thaprior.net) ont \u00e9t\u00e9 enregistr\u00e9s en 2015 et h\u00e9berg\u00e9s par un fournisseur d'h\u00e9bergement<\/a> Deltahost. La porte d\u00e9rob\u00e9e a int\u00e9gr\u00e9 12 fonctionnalit\u00e9s de base, permettant de charger et d'ex\u00e9cuter des plugins dot\u00e9s de fonctionnalit\u00e9s avanc\u00e9es, de transmettre des donn\u00e9es sur l'appareil, d'intercepter des donn\u00e9es confidentielles et de g\u00e9rer des fichiers locaux.
\n
Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0418\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u0441\u043a\u0430\u044f \u043b\u0430\u0431\u043e\u0440\u0430\u0442\u043e\u0440\u0438\u044f 360 Netlab \u0441\u043e\u043e\u0431\u0449\u0438\u043b\u0430 \u043e \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0438\u0438 \u043d\u043e\u0432\u043e\u0433\u043e \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u041f\u041e \u0434\u043b\u044f Linux, \u043f\u043e\u043b\u0443\u0447\u0438\u0432\u0448\u0435\u0433\u043e \u043a\u043e\u0434\u043e\u0432\u043e\u0435 \u0438\u043c\u044f RotaJakiro \u0438 \u0432\u043a\u043b\u044e\u0447\u0430\u044e\u0449\u0435\u0433\u043e \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044e \u0431\u044d\u043a\u0434\u043e\u0440\u0430, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0435\u0433\u043e \u0443\u043f\u0440\u0430\u0432\u043b\u044f\u0442\u044c \u0441\u0438\u0441\u0442\u0435\u043c\u043e\u0439. \u0412\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0435 \u041f\u041e \u043c\u043e\u0433\u043b\u043e \u0431\u044b\u0442\u044c \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u043e \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u043c\u0438 \u043f\u043e\u0441\u043b\u0435 \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u0438 \u043d\u0435\u0438\u0441\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u043d\u044b\u0445 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u0438\u043b\u0438 \u043f\u043e\u0434\u0431\u043e\u0440\u0430 \u043d\u0435\u043d\u0430\u0434\u0451\u0436\u043d\u044b\u0445 \u043f\u0430\u0440\u043e\u043b\u0435\u0439. \u0411\u044d\u043a\u0434\u043e\u0440 \u0431\u044b\u043b \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d \u0432 \u0445\u043e\u0434\u0435 \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u043f\u043e\u0434\u043e\u0437\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0433\u043e \u0442\u0440\u0430\u0444\u0438\u043a\u0430 \u043e\u0442 \u043e\u0434\u043d\u043e\u0433\u043e \u0438\u0437 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u044b\u0445 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0432, \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u043d\u043e\u0433\u043e \u043f\u0440\u0438 \u0440\u0430\u0437\u0431\u043e\u0440\u0435 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-100066","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47 RotaJakiro \u2014 nouveau logiciel malveillant pour Linux, se faisant passer pour le processus systemd | ProHoster","description":"Le laboratoire de recherche 360 Netlab a signal\u00e9 la d\u00e9couverte d'un nouveau logiciel malveillant pour Linux, cod\u00e9 sous le nom RotaJakiro, incluant la mise en \u0153uvre d'une porte d\u00e9rob\u00e9e permettant de contr\u00f4ler le syst\u00e8me.","canonical_url":"https:\/\/prohoster.info\/fr\/blog\/news\/rotajakiro-novoe-vredonosnoe-po-dlya-linux-maskiruyushheesya-pod-proczess-systemd","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"fr_FR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47RotaJakiro \u2014 \u043d\u043e\u0432\u043e\u0435 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0435 \u041f\u041e \u0434\u043b\u044f Linux, \u043c\u0430\u0441\u043a\u0438\u0440\u0443\u044e\u0449\u0435\u0435\u0441\u044f \u043f\u043e\u0434 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 systemd | ProHoster","og:description":"\u0418\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u0441\u043a\u0430\u044f \u043b\u0430\u0431\u043e\u0440\u0430\u0442\u043e\u0440\u0438\u044f 360 Netlab \u0441\u043e\u043e\u0431\u0449\u0438\u043b\u0430 \u043e \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0438\u0438 \u043d\u043e\u0432\u043e\u0433\u043e \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u041f\u041e \u0434\u043b\u044f Linux, \u043f\u043e\u043b\u0443\u0447\u0438\u0432\u0448\u0435\u0433\u043e \u043a\u043e\u0434\u043e\u0432\u043e\u0435 \u0438\u043c\u044f RotaJakiro \u0438 \u0432\u043a\u043b\u044e\u0447\u0430\u044e\u0449\u0435\u0433\u043e \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044e \u0431\u044d\u043a\u0434\u043e\u0440\u0430, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0435\u0433\u043e \u0443\u043f\u0440\u0430\u0432\u043b\u044f\u0442\u044c \u0441\u0438\u0441\u0442\u0435\u043c\u043e\u0439.","og:url":"https:\/\/prohoster.info\/fr\/blog\/news\/rotajakiro-novoe-vredonosnoe-po-dlya-linux-maskiruyushheesya-pod-proczess-systemd","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2021-04-30T14:23:09+00:00","article:modified_time":"2021-04-30T14:23:09+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"100066","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-04-30 14:30:04","updated":"2026-02-09 21:46:38","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/100066","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/comments?post=100066"}],"version-history":[{"count":2,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/100066\/revisions"}],"predecessor-version":[{"id":160289,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/100066\/revisions\/160289"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media?parent=100066"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/categories?post=100066"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/tags?post=100066"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}