A 360 Netlab kutatólaboratórium bejelentette, hogy felfedezett egy új Linux-ra írt rosszindulatú programot, amelynek kódneve RotaJakiro, és mely hátsóajtót tartalmaz, amely lehetővé teszi a rendszer irányítását. A rosszindulatú program telepítése a támadók által a javítatlan sebezhetőségek kihasználásával vagy megbízhatatlan jelszavak kitalálásával történhetett.
A hátsóajtót egy gyanús forgalom elemzése során fedezték fel, amely egy DDoS-támadás során használt botnet struktúrájának vizsgálata közben merült fel. A RotaJakiro eleddig észrevétlen maradt három évig, különösen, mert az első fájlok VirusTotal-en történő ellenőrzési kísérletei, amelyek MD5 hash-ei megegyeztek a felfedezett rosszindulatú programéval, 2018 májusára datálhatók.
A RotaJakiro jellemzői között szerepel, hogy különböző álcázási technikákat alkalmaz, amikor nem adminisztrátori jogosultságú felhasználóként vagy rootként fut. Jelenlétének eltitkolására a hátsóajtó a systemd-daemon, a session-dbus és a gvfsd-helper folyamatneveket használta, amelyek a modern Linux disztribúciókban a sokféle háttérfolyamat miatt első pillantásra legitimnek tűnnek, és így nem váltottak ki gyanút.
Root jogosultságokkal a rosszindulatú program aktiválásához a következő fájlok létrehozása történt: \/etc\/init\/systemd-agent.conf és \/lib\/systemd\/system\/sys-temd-agent.service, míg a rosszindulatú végrehajtható fájl a \/bin\/systemd\/systemd-daemon és \/usr\/lib\/systemd\/systemd-daemon néven került elhelyezésre (a funkcionalitás megduplázva lett a két fájlban). Normál felhasználói jogosultságok mellett az $HOME\/.config\/au-tostart\/gnomehelper.desktop autostart fájlt használták, és módosításokat végeztek a .bashrc fájlban, a végrehajtható fájlt pedig $HOME\/.gvfsd\/.profile\/gvfsd-helper és $HOME\/.dbus\/sessions\/session-dbus néven tárolták. Mindkét végrehajtható fájl párhuzamosan futott, melyek mindegyike figyelte a másikat, és helyreállította azt, ha az leállt.
A tevékenységei eredményeinek eltitkolására a hátsóajtó több titkosítási algoritmust használt, például a saját forrásainak titkosításához AES-t, a kommunikációs csatorna elrejtéséhez pedig szerverrel az AES, XOR és ROTATE kombinációját, tömörítéssel ZLIB segítségével.
A rosszindulatú szoftver négy domainekhez fordult a 443-as hálózati porton keresztül, hogy kormányzati parancsokat szerezzen be (a kommunikációs csatornában saját protokollt használtak, nem HTTPS-t és TLS-t). A domainek (cdn.mirror-codes.net, status.sublineover.net, blog.eduelects.com és news.thaprior.net) 2015-ben lettek regisztrálva és a kijevi Deltahostnál vannak elhelyezve. szolgáltató A hátsó ajtóba 12 alapfunkciót integráltak, amelyek lehetővé tették bővített funkciójú pluginok betöltését és végrehajtását, az eszközadatok továbbítását, a bizalmas adatok megfigyelését és a helyi fájlok kezelését.
Forrás: opennet.ru
