सिम्बियोट एक लिनक्स मैलवेयर है जो छिपाने के लिए eBPF और LD_PRELOAD का उपयोग करता है

इंटेज़र और ब्लैकबेरी के शोधकर्ताओं ने सिम्बियोट कोडनेम वाले मैलवेयर की खोज की है, जिसका उपयोग लिनक्स चलाने वाले समझौता किए गए सर्वर में बैकडोर और रूटकिट को इंजेक्ट करने के लिए किया जाता है। कई लैटिन अमेरिकी देशों में वित्तीय संस्थानों के सिस्टम पर मैलवेयर का पता चला था। किसी सिस्टम पर सिम्बियोट स्थापित करने के लिए, एक हमलावर के पास रूट एक्सेस होना चाहिए, जिसे प्राप्त किया जा सकता है, उदाहरण के लिए, अप्रकाशित कमजोरियों या खाता लीक का फायदा उठाने के परिणामस्वरूप। सिम्बियोट आपको हैकिंग के बाद आगे के हमलों को अंजाम देने, अन्य दुर्भावनापूर्ण अनुप्रयोगों की गतिविधि को छिपाने और गोपनीय डेटा के अवरोधन को व्यवस्थित करने के लिए सिस्टम में अपनी उपस्थिति को मजबूत करने की अनुमति देता है।

सिम्बियोट की एक विशेष विशेषता यह है कि इसे एक साझा लाइब्रेरी के रूप में वितरित किया जाता है, जिसे LD_PRELOAD तंत्र का उपयोग करके सभी प्रक्रियाओं के स्टार्टअप के दौरान लोड किया जाता है और कुछ कॉलों को मानक लाइब्रेरी में बदल दिया जाता है। नकली कॉल हैंडलर पिछले दरवाजे से संबंधित गतिविधि को छिपाते हैं, जैसे प्रक्रिया सूची में विशिष्ट वस्तुओं को बाहर करना, /proc में कुछ फ़ाइलों तक पहुंच को अवरुद्ध करना, निर्देशिकाओं में फ़ाइलों को छिपाना, एलडीडी आउटपुट में दुर्भावनापूर्ण साझा लाइब्रेरी को बाहर करना (निष्पादन फ़ंक्शन को हाईजैक करना और कॉल का विश्लेषण करना) पर्यावरण चर LD_TRACE_LOADED_OBJECTS) दुर्भावनापूर्ण गतिविधि से जुड़े नेटवर्क सॉकेट नहीं दिखाता है।

ट्रैफ़िक निरीक्षण से बचाने के लिए, libpcap लाइब्रेरी फ़ंक्शंस को फिर से परिभाषित किया गया है, /proc/net/tcp रीड फ़िल्टरिंग और एक eBPF प्रोग्राम को कर्नेल में लोड किया गया है, जो ट्रैफ़िक विश्लेषकों के संचालन को रोकता है और अपने स्वयं के नेटवर्क हैंडलर के लिए तीसरे पक्ष के अनुरोधों को खारिज कर देता है। ईबीपीएफ प्रोग्राम पहले प्रोसेसर के बीच लॉन्च किया गया है और नेटवर्क स्टैक के निम्नतम स्तर पर निष्पादित किया जाता है, जो आपको बाद में लॉन्च किए गए विश्लेषकों सहित पिछले दरवाजे की नेटवर्क गतिविधि को छिपाने की अनुमति देता है।

सिम्बियोट आपको फ़ाइल सिस्टम में कुछ गतिविधि विश्लेषकों को बायपास करने की भी अनुमति देता है, क्योंकि गोपनीय डेटा की चोरी फ़ाइलों को खोलने के स्तर पर नहीं की जा सकती है, बल्कि वैध अनुप्रयोगों में इन फ़ाइलों से पढ़ने के संचालन को रोककर की जा सकती है (उदाहरण के लिए, प्रतिस्थापन) लाइब्रेरी फ़ंक्शंस आपको उपयोगकर्ता को पासवर्ड दर्ज करने या एक्सेस कुंजी के साथ फ़ाइल डेटा से लोड करने से रोकने की अनुमति देता है)। रिमोट लॉगिन को व्यवस्थित करने के लिए, सिम्बियोट कुछ पीएएम कॉल (प्लग करने योग्य प्रमाणीकरण मॉड्यूल) को इंटरसेप्ट करता है, जो आपको कुछ हमलावर क्रेडेंशियल्स के साथ एसएसएच के माध्यम से सिस्टम से कनेक्ट करने की अनुमति देता है। HTTP_SETTHIS पर्यावरण चर सेट करके रूट उपयोगकर्ता के लिए अपने विशेषाधिकार बढ़ाने का एक छिपा हुआ विकल्प भी है।

स्रोत: opennet.ru