Simbiote는 eBPF 및 LD_PRELOAD를 사용하여 숨기는 Linux 악성코드입니다.

Intezer와 BlackBerry의 연구원들은 Linux를 실행하는 손상된 서버에 백도어와 루트킷을 삽입하는 데 사용되는 코드명 Simbiote라는 악성 코드를 발견했습니다. 라틴 아메리카 여러 국가의 금융 기관 시스템에서 악성 코드가 발견되었습니다. 시스템에 Simbiote를 설치하려면 공격자는 패치되지 않은 취약점이나 계정 유출을 악용한 결과로 얻을 수 있는 루트 액세스 권한이 있어야 합니다. Simbiote를 사용하면 해킹 후 시스템에서 자신의 존재를 통합하여 추가 공격을 수행하고, 다른 악성 애플리케이션의 활동을 숨기고, 기밀 데이터를 가로챌 수 있도록 구성할 수 있습니다.

Simbiote의 특별한 기능은 공유 라이브러리 형태로 배포된다는 것입니다. 이 라이브러리는 LD_PRELOAD 메커니즘을 사용하여 모든 프로세스를 시작하는 동안 로드되고 표준 라이브러리에 대한 일부 호출을 대체합니다. 스푸핑된 호출 핸들러는 프로세스 목록의 특정 항목 제외, /proc의 특정 파일에 대한 액세스 차단, 디렉터리의 파일 숨기기, ldd 출력의 악성 공유 라이브러리 제외(execve 함수 하이재킹 및 호출 분석)와 같은 백도어 관련 활동을 숨깁니다. 환경 변수 LD_TRACE_LOADED_OBJECTS)는 악의적인 활동과 관련된 네트워크 소켓을 표시하지 않습니다.

트래픽 검사를 방지하기 위해 libpcap 라이브러리 기능이 재정의되고, /proc/net/tcp 읽기 필터링과 eBPF 프로그램이 커널에 로드되어 트래픽 분석기의 작동을 방지하고 자체 네트워크 핸들러에 대한 타사 요청을 삭제합니다. eBPF 프로그램은 첫 번째 프로세서 사이에서 실행되고 네트워크 스택의 가장 낮은 수준에서 실행됩니다. 이를 통해 나중에 실행되는 분석기를 포함하여 백도어의 네트워크 활동을 숨길 수 있습니다.

또한 Simbiote를 사용하면 파일 시스템의 일부 활동 분석기를 우회할 수 있습니다. 기밀 데이터 도난은 파일을 여는 수준이 아니라 합법적인 애플리케이션에서 이러한 파일의 읽기 작업을 가로채는 방식으로 수행될 수 있기 때문입니다(예: 라이브러리 대체). 기능을 사용하면 사용자가 비밀번호를 입력하거나 액세스 키를 사용하여 파일 데이터에서 로드하는 것을 차단할 수 있습니다. 원격 로그인을 구성하기 위해 Simbiote는 일부 PAM 호출(플러그형 인증 모듈)을 가로채는데, 이를 통해 특정 공격 자격 증명을 사용하여 SSH를 통해 시스템에 연결할 수 있습니다. HTTP_SETTHIS 환경 변수를 설정하여 루트 사용자에 대한 권한을 높이는 숨겨진 옵션도 있습니다.

출처 : opennet.ru