I ricercatori delle aziende Intezer e BlackBerry hanno scoperto un malware con il nome in codice Simbiote, utilizzato per l'implementazione di backdoor e rootkit su server compromessi che eseguono Linux. Il malware è stato identificato nei sistemi di istituti finanziari in diversi paesi dell'America Latina. Per installare Simbiote nel sistema, l'attaccante deve avere accesso root, che può essere ottenuto, ad esempio, sfruttando vulnerabilità non corrette o tramite la compromissione di credenziali. Simbiote consente di mantenere la propria presenza nel sistema dopo una violazione, per effettuare ulteriori attacchi, nascondere le attività di altri software malevoli e organizzare l'intercettazione di dati confidenziali.
La caratteristica di Simbiote è la sua distribuzione sotto forma di libreria condivisa, che viene caricata all'avvio di tutti i processi tramite il meccanismo LD_PRELOAD e sostituisce alcune chiamate alla libreria standard. I gestori delle chiamate sostituite nascondono l'attività legata al backdoor, ad esempio escludendo elementi specifici dall'elenco dei processi, bloccando l'accesso a determinati file in /proc, occultando file nelle directory, escludendo la libreria condivisa dannosa dall'output di ldd (eseguito intercettando la funzione execve e analizzando le chiamate con la variabile d'ambiente LD_TRACE_LOADED_OBJECTS), e non mostrando i socket di rete associati all'attività malevola.
Per proteggere dalle ispezioni del traffico, vengono sovrascritte le funzioni della libreria libpcap, filtrando la lettura di /proc/net/tcp e caricando nel kernel programmi eBPF che impediscono il funzionamento degli analizzatori di traffico e scartano richieste esterne ai propri gestori di rete. Il programma eBPF viene avviato tra i primi gestori e viene eseguito al livello più basso dello stack di rete, consentendo così di nascondere l'attività di rete del backdoor anche dagli analizzatori avviati successivamente.
Simbiote consente anche di eludere alcuni analizzatori di attività nel file system, poiché il furto di dati sensibili può avvenire non a livello di apertura dei file, ma attraverso l'intercettazione delle operazioni di lettura da questi file in applicazioni legittime (ad esempio, la sostituzione di funzioni di libreria consente di intercettare l'input della password dell'utente o i dati caricati da file con una chiave di accesso). Per facilitare l'accesso remoto, Simbiote intercetta alcune chiamate PAM (Pluggable Authentication Module), consentendo di connettersi al sistema via SSH con determinate credenziali attaccanti. È anche prevista una possibilità nascosta di elevare i propri privilegi a utente root tramite l'impostazione della variabile d'ambiente HTTP_SETTHIS.
Fonte: opennet.ru
