Il laboratorio di ricerca 360 Netlab ha annunciato la scoperta di un nuovo malware per Linux, con il nome in codice RotaJakiro, che include un'implementazione di backdoor che consente il controllo del sistema. Il malware potrebbe essere stato installato dagli aggressori dopo aver sfruttato vulnerabilità non corrette nel sistema o tramite l'uso di password deboli.
La backdoor è stata individuata durante l'analisi di traffico sospetto proveniente da uno dei processi di sistema, scoperto nell'analisi della struttura del botnet utilizzato per l'attacco DDoS. Prima di questo, RotaJakiro era rimasto invisibile per tre anni; in particolare, i primi tentativi di verifica nel servizio VirusTotal di file con hash MD5 corrispondenti al malware individuato risalgono a maggio 2018.
Tra le caratteristiche di RotaJakiro c'è l'uso di diverse tecniche di occultamento quando viene eseguito con i privilegi di un utente non privilegiato e di root. Per nascondere la propria presenza, la backdoor utilizzava nomi di processi come systemd-daemon, session-dbus e gvfsd-helper, che, considerando il disordine degli attuali distribuzioni Linux con vari processi di servizio, apparivano legittimi e non suscitavano sospetti.
Quando viene eseguito con privilegi di root, per attivare il malware venivano creati gli script /etc/init/systemd-agent.conf e /lib/systemd/system/sys-temd-agent.service, mentre il file eseguibile del malware veniva collocato come /bin/systemd/systemd-daemon e /usr/lib/systemd/systemd-daemon (la funzionalità era duplicata in entrambi i file). Quando eseguito con i privilegi di un utente normale, veniva utilizzato il file di avvio automatico $HOME/.config/autostart/gnomehelper.desktop e venivano apportate modifiche a .bashrc, mentre il file eseguibile veniva salvato come $HOME/.gvfsd/.profile/gvfsd-helper e $HOME/.dbus/sessions/session-dbus. Entrambi i file eseguibili venivano avviati simultaneamente, ciascuno monitorando la presenza dell'altro e ripristinandolo in caso di chiusura.
Per nascondere i risultati delle proprie attività, la backdoor utilizzava diversi algoritmi di crittografia; ad esempio, per crittografare le proprie risorse veniva utilizzato AES, mentre per occultare il canale di comunicazione con il controllore server la combinazione di AES, XOR e ROTATE insieme a una compressione tramite ZLIB.
Per ricevere comandi di controllo, il malware si è connesso a 4 domini tramite la porta di rete 443 (nel canale di comunicazione è stato utilizzato un protocollo proprio, e non HTTPS e TLS). I domini (cdn.mirror-codes.net, status.sublineover.net, blog.eduelects.com e news.thaprior.net) sono stati registrati nel 2015 e ospitati da Deltahost a Kiev. fornitore di hosting Nel backdoor sono state integrate 12 funzioni di base che consentivano di caricare ed eseguire plugin con funzionalità avanzate, trasmettere dati sul dispositivo, intercettare informazioni riservate e gestire file locali.
Fonte: opennet.ru
