RotaJakiro एक नया लिनक्स मैलवेयर है जो एक सिस्टमडी प्रक्रिया के रूप में सामने आता है

अनुसंधान प्रयोगशाला 360 नेटलैब ने लिनक्स के लिए नए मैलवेयर की पहचान की सूचना दी, जिसका कोडनेम रोटाजाकिरो है और इसमें एक पिछले दरवाजे का कार्यान्वयन भी शामिल है जो आपको सिस्टम को नियंत्रित करने की अनुमति देता है। सिस्टम में अप्रकाशित कमजोरियों का फायदा उठाने या कमजोर पासवर्ड का अनुमान लगाने के बाद हमलावरों द्वारा मैलवेयर इंस्टॉल किया गया हो सकता है।

पिछले दरवाजे की खोज सिस्टम प्रक्रियाओं में से एक से संदिग्ध ट्रैफ़िक के विश्लेषण के दौरान की गई थी, जिसे DDoS हमले के लिए उपयोग किए गए बॉटनेट की संरचना के विश्लेषण के दौरान पहचाना गया था। इससे पहले, रोटाजैकिरो ​​का तीन साल तक पता नहीं चला था; विशेष रूप से, वायरसटोटल सेवा में पहचाने गए मैलवेयर से मेल खाने वाले एमडी5 हैश के साथ फ़ाइलों को स्कैन करने का पहला प्रयास मई 2018 को किया गया था।

RotaJakiro की विशेषताओं में से एक एक विशेषाधिकार प्राप्त उपयोगकर्ता और रूट के रूप में चलने पर विभिन्न छलावरण तकनीकों का उपयोग है। अपनी उपस्थिति को छिपाने के लिए, बैकडोर ने प्रक्रिया नामों systemd-daemon, session-dbus और gvfsd-helper का उपयोग किया, जो कि सभी प्रकार की सेवा प्रक्रियाओं के साथ आधुनिक लिनक्स वितरण की अव्यवस्था को देखते हुए, पहली नज़र में वैध लगता था और संदेह पैदा नहीं करता था।

जब रूट अधिकारों के साथ चलाया जाता है, तो मैलवेयर को सक्रिय करने के लिए स्क्रिप्ट /etc/init/systemd-agent.conf और /lib/systemd/system/sys-temd-agent.service बनाई गई थी, और दुर्भावनापूर्ण निष्पादन योग्य फ़ाइल स्वयं / के रूप में स्थित थी बिन/सिस्टमडी/सिस्टमडी -डेमन और /usr/lib/systemd/systemd-डेमन (कार्यक्षमता दो फाइलों में डुप्लिकेट की गई थी)। मानक उपयोगकर्ता के रूप में चलते समय, ऑटोस्टार्ट फ़ाइल $HOME/.config/au-tostart/gnomehelper.desktop का उपयोग किया गया था और .bashrc में परिवर्तन किए गए थे, और निष्पादन योग्य फ़ाइल को $HOME/.gvfsd/.profile/gvfsd के रूप में सहेजा गया था -हेल्पर और $HOME/ .dbus/sessions/session-dbus. दोनों निष्पादन योग्य फ़ाइलें एक साथ लॉन्च की गईं, जिनमें से प्रत्येक ने दूसरे की उपस्थिति की निगरानी की और समाप्त होने पर इसे पुनर्स्थापित किया।

पिछले दरवाजे में उनकी गतिविधियों के परिणामों को छिपाने के लिए, कई एन्क्रिप्शन एल्गोरिदम का उपयोग किया गया था, उदाहरण के लिए, एईएस का उपयोग उनके संसाधनों को एन्क्रिप्ट करने के लिए किया गया था, और ZLIB का उपयोग करके संपीड़न के साथ एईएस, एक्सओआर और रोटेट के संयोजन का उपयोग संचार चैनल को छिपाने के लिए किया गया था। नियंत्रण सर्वर के साथ.

नियंत्रण आदेश प्राप्त करने के लिए, मैलवेयर ने नेटवर्क पोर्ट 4 के माध्यम से 443 डोमेन से संपर्क किया (संचार चैनल ने अपने स्वयं के प्रोटोकॉल का उपयोग किया, HTTPS और TLS का नहीं)। डोमेन (cdn.mirror-codes.net, status.sublineover.net, blog.eduelects.com और news.thaprior.net) 2015 में पंजीकृत किए गए थे और कीव होस्टिंग प्रदाता डेल्टाहोस्ट द्वारा होस्ट किए गए थे। 12 बुनियादी कार्यों को पिछले दरवाजे में एकीकृत किया गया था, जो उन्नत कार्यक्षमता के साथ प्लगइन्स को लोड करने और निष्पादित करने, डिवाइस डेटा संचारित करने, संवेदनशील डेटा को इंटरसेप्ट करने और स्थानीय फ़ाइलों को प्रबंधित करने की अनुमति देता था।

स्रोत: opennet.ru