Il laboratorio di ricerca 360 Netlab ha riportato la scoperta di un nuovo malware per Linux, noto con il nome in codice RotaJakiro, che include l'implementazione di un backdoor per il controllo del sistema. Il malware potrebbe essere stato installato da attaccanti dopo aver sfruttato vulnerabilità non corrette nel sistema o attraverso l'indovinamento di password deboli.
Il backdoor è stato scoperto durante l'analisi del traffico sospetto da uno dei processi di sistema, identificato nell'analisi della struttura di un botnet utilizzato per attacchi DDoS. Prima di questo, RotaJakiro era rimasto inosservato per tre anni; in particolare, i primi tentativi di analisi su VirusTotal di file con hash MD5 corrispondenti a quello del malware risalgono a maggio 2018.
Tra le caratteristiche di RotaJakiro vi è l'uso di diverse tecniche di occultamento durante l'esecuzione con privilegi di utente non privilegiato e root. Per nascondere la propria presenza, il backdoor utilizzava nomi di processi come systemd-daemon, session-dbus e gvfsd-helper, che, considerando l'affollamento dei moderni sistemi operativi Linux con vari processi di servizio, apparivano legittimi a prima vista e non suscitavano sospetti.
All'avvio con i diritti di root per attivare malware, venivano creati gli script /etc/init/systemd-agent.conf e /lib/systemd/system/systemd-agent.service, mentre il file eseguibile del malware veniva collocato come /bin/systemd/systemd-daemon e /usr/lib/systemd/systemd-daemon (la funzionalità era duplicata in due file). Quando eseguito con i diritti di un utente normale, veniva utilizzato il file di avvio automatico $HOME/.config/autostart/gnomehelper.desktop e venivano apportate modifiche a .bashrc, mentre il file eseguibile veniva salvato come $HOME/.gvfsd/.profile/gvfsd-helper e $HOME/.dbus/sessions/session-dbus. Entrambi i file eseguibili venivano avviati contemporaneamente, ognuno dei quali monitorava la presenza dell'altro e lo ripristinava in caso di terminazione.
Per nascondere i risultati delle sue attività nel backdoor, venivano utilizzati diversi algoritmi di crittografia, ad esempio, per la crittografia delle proprie risorse veniva utilizzato AES, mentre per nascondere il canale di comunicazione con il server di comando. server la combinazione di AES, XOR e ROTATE insieme alla compressione tramite ZLIB.
Per ottenere comandi di gestione, il malware si è connesso a 4 domini attraverso la porta 443 (nel canale di comunicazione è stato utilizzato un protocollo proprietario e non HTTPS e TLS). I domini (cdn.mirror-codes.net, status.sublineover.net, blog.eduelects.com e news.thaprior.net) sono stati registrati nel 2015 e ospitati da Deltahost, con sede a Kiev. fornitore di hosting Nel backdoor sono state integrate 12 funzioni fondamentali, che consentivano di caricare ed eseguire plugin con funzionalità avanzate, trasferire dati sul dispositivo, intercettare informazioni riservate e gestire file locali.
Fonte: opennet.ru
