Istraživačka laboratorija 360 Netlab izvijestila je o otkriću novog zloćudnog softvera za Linux, koji nosi kodno ime RotaJakiro i uključuje implementaciju backdoora koji omogućava upravljanje sustavom. Zloćudni softver mogao je biti instaliran od strane napadača eksploatacijom neispravljenih ranjivosti u sustavu ili upotrebom nesigurnih lozinki.
Backdoor je otkriven tijekom analize sumnjivog prometa od jednog od sistemskih procesa, koji je uočen tijekom analize strukture botneta korištenog za DDoS napad. Prije toga, RotaJakiro je ostao neprimijećen tri godine, pri čemu su prvi pokušaji provjere na usluzi VirusTotal datoteka s MD5 hash kodovima koji se podudaraju s otkrivenim zloćudnim softverom datirani u svibnju 2018. godine.
Jedna od značajki RotaJakiroa je korištenje različitih tehnika maskiranja prilikom pokretanja s pravima neprivilegiranog korisnika i root-a. Kako bi prikrio svoje prisustvo, backdoor je koristio imena procesa systemd-daemon, session-dbus i gvfsd-helper, koja su, s obzirom na pretrpanost modernih Linux distribucija raznim pomoćnim procesima, na prvi pogled izgledala legitimno i nisu budila sumnju.
Pri pokretanju s pravima root-a, za aktivaciju zloćudnog softvera kreirani su skripti /etc/init/systemd-agent.conf i /lib/systemd/system/sys-temd-agent.service, a sama zloćudna izvršna datoteka pohranjivala se kao /bin/systemd/systemd-daemon i /usr/lib/systemd/systemd-daemon (funkcionalnost je duplicirana u dvije datoteke). Prilikom izvršenja s pravima običnog korisnika korišten je datoteku za automatsko pokretanje $HOME/.config/auto-start/gnomehelper.desktop i vršene su promjene u .bashrc, dok se izvršna datoteka pohranjivala kao $HOME/.gvfsd/.profile/gvfsd-helper i $HOME/.dbus/sessions/session-dbus. Paralelno su bila pokrenuta oba izvršna datoteka, od kojih je svaka pratila prisutnost druge i obnavljala je u slučaju završetka rada.
Kako bi prikrio rezultate svoje aktivnosti, u backdoor-u su korišteni različiti algoritmi enkripcije, na primjer, za enkripciju svojih resursa korišten je AES, a za skrivanje komunikacijskog kanala s upravljačem serverom kombinacija AES-a, XOR-a i ROTATE-a u kombinaciji sa kompresijom pomoću ZLIB.
Za upravljanje zlonamjernim programima koristi se 4 domene putem mrežnog porta 443 (u komunikaciji se koristio vlastiti protokol, umjesto HTTPS i TLS). Domene (cdn.mirror-codes.net, status.sublineover.net, blog.eduelects.com i news.thaprior.net) registrirane su 2015. godine i hostane su kod kijevskog hosting provajdera Deltahost. U backdoor je integrirano 12 osnovnih funkcija koje su omogućavale učitavanje i izvođenje dodataka s proširenom funkcionalnošću, prenošenje podataka o uređaju, presretanje povjerljivih podataka i upravljanje lokalnim datotekama.
Izvor: opennet.ru
