I ricercatori delle aziende Intezer e BlackBerry hanno scoperto un software malicioso, con il nome in codice Simbiote, utilizzato per l'inserimento di backdoor e rootkit su server compromessi che operano sotto Linux. Il software è stato individuato nei sistemi di istituzioni finanziarie in diversi paesi dell'America Latina. Per installare Simbiote nel sistema, l'attaccante deve avere accesso root, che può essere acquisito, ad esempio, sfruttando vulnerabilità non corrette o a causa di fuga di credenziali. Simbiote consente di mantenere la propria presenza nel sistema dopo un'intrusione per effettuare ulteriori attacchi, nascondere le attività di altre applicazioni dannose e organizzare l'intercettazione di dati riservati.
Una caratteristica di Simbiote è la diffusione in forma di libreria condivisa, che viene caricata all'avvio di tutti i processi tramite il meccanismo LD_PRELOAD e sostituisce alcune chiamate della libreria standard. I gestori delle chiamate sostituite nascondono le attività associate alla backdoor, ad esempio escludendo determinati elementi nell'elenco dei processi, bloccando l'accesso a file specifici in /proc, nascondendo file nelle directory, escludendo la libreria condivisa dannosa nell'output di ldd (viene effettuato il recupero della funzione execve e l'analisi delle chiamate con la variabile d'ambiente LD_TRACE_LOADED_OBJECTS), e non mostrando i socket di rete associati ad attività dannose.
Per proteggere l'ispezione del traffico viene sovrascritto le funzioni della libreria libpcap, filtrando la lettura di /proc/net/tcp e caricando nel kernel un programma eBPF, che ostacola il funzionamento degli analizzatori di traffico e scarta le richieste esterne ai propri gestori di rete. Il programma eBPF viene eseguito tra i primi gestori e viene eseguito al livello più basso dello stack di rete, permettendo di nascondere l'attività di rete della backdoor anche dagli analizzatori avviati successivamente.
Simbiote consente anche di bypassare alcuni analizzatori di attività nel file system, poiché il furto di dati riservati può avvenire non a livello di apertura dei file, ma attraverso l'intercettazione delle operazioni di lettura da questi file in applicazioni legittime (ad esempio, la sostituzione delle funzioni delle librerie consente di intercettare l'inserimento della password da parte dell'utente o i dati caricati da un file con la chiave di accesso). Per organizzare l'accesso remoto, Simbiote intercetta alcune chiamate PAM (Pluggable Authentication Module), consentendo di connettersi al sistema tramite SSH con credenziali di attacco specifiche. È prevista anche una possibilità nascosta di elevare i propri privilegi fino all'utente root tramite l'impostazione della variabile ambiente HTTP_SETTHIS.
Fonte: opennet.ru
