RotaJakiro ເປັນ Malware Linux ໃໝ່ທີ່ປອມຕົວເປັນຂະບວນການລະບົບ

ຫ້ອງທົດລອງການຄົ້ນຄວ້າ 360 Netlab ລາຍງານການກໍານົດ malware ໃຫມ່ສໍາລັບ Linux, codenamed RotaJakiro ແລະລວມທັງການປະຕິບັດຂອງ backdoor ທີ່ອະນຸຍາດໃຫ້ທ່ານສາມາດຄວບຄຸມລະບົບ. ມັລແວສາມາດຖືກຕິດຕັ້ງໂດຍຜູ້ໂຈມຕີ ຫຼັງຈາກໃຊ້ຊ່ອງໂຫວ່ທີ່ບໍ່ໄດ້ຮັບການແກ້ໄຂໃນລະບົບ ຫຼືຄາດເດົາລະຫັດຜ່ານທີ່ອ່ອນແອ.

backdoor ໄດ້ຖືກຄົ້ນພົບໃນລະຫວ່າງການວິເຄາະການຈາລະຈອນທີ່ຫນ້າສົງໄສຈາກຫນຶ່ງໃນຂະບວນການລະບົບ, ຖືກກໍານົດໃນລະຫວ່າງການວິເຄາະໂຄງສ້າງຂອງ botnet ທີ່ໃຊ້ສໍາລັບການໂຈມຕີ DDoS. ກ່ອນໜ້ານີ້, RotaJakiro ຍັງຄົງບໍ່ຖືກກວດພົບເປັນເວລາສາມປີ; ໂດຍສະເພາະ, ຄວາມພະຍາຍາມຄັ້ງທຳອິດທີ່ຈະສະແກນໄຟລ໌ດ້ວຍ MD5 hashes ທີ່ກົງກັບ malware ທີ່ລະບຸໄວ້ໃນບໍລິການ VirusTotal ແມ່ນລົງວັນທີເດືອນພຶດສະພາ 2018.

ຫນຶ່ງໃນຄຸນນະສົມບັດຂອງ RotaJakiro ແມ່ນການນໍາໃຊ້ເຕັກນິກການ camouflage ທີ່ແຕກຕ່າງກັນໃນເວລາທີ່ແລ່ນເປັນຜູ້ໃຊ້ທີ່ບໍ່ມີສິດທິພິເສດແລະຮາກ. ເພື່ອເຊື່ອງການປະກົດຕົວຂອງມັນ, ປະຕູຫລັງໄດ້ໃຊ້ຊື່ຂະບວນການ systemd-daemon, session-dbus ແລະ gvfsd-helper, ເຊິ່ງເຮັດໃຫ້ຄວາມວຸ່ນວາຍຂອງການແຈກຢາຍ Linux ທີ່ທັນສະໄຫມກັບຂະບວນການບໍລິການທຸກປະເພດ, ຢູ່ glance ທໍາອິດເບິ່ງຄືວ່າຖືກຕ້ອງແລະບໍ່ເຮັດໃຫ້ເກີດຄວາມສົງໃສ.

ເມື່ອດໍາເນີນການດ້ວຍສິດທິຂອງຮາກ, scripts /etc/init/systemd-agent.conf ແລະ /lib/systemd/system/sys-temd-agent.service ໄດ້ຖືກສ້າງຂື້ນເພື່ອເປີດໃຊ້ malware, ແລະໄຟລ໌ປະຕິບັດການເປັນອັນຕະລາຍຂອງມັນເອງຕັ້ງຢູ່ເປັນ / bin/systemd/systemd -daemon ແລະ /usr/lib/systemd/systemd-daemon (ການທໍາງານໄດ້ຖືກຊ້ໍາກັນໃນສອງໄຟລ໌). ເມື່ອແລ່ນເປັນຜູ້ໃຊ້ມາດຕະຖານ, ໄຟລ໌ autostart $HOME/.config/au-tostart/gnomehelper.desktop ຖືກໃຊ້ ແລະປ່ຽນເປັນ .bashrc, ແລະໄຟລ໌ທີ່ສາມາດປະຕິບັດໄດ້ຖືກບັນທຶກເປັນ $HOME/.gvfsd/.profile/gvfsd. -helper ແລະ $HOME/ .dbus/sessions/session-dbus. ທັງສອງໄຟລ໌ທີ່ສາມາດປະຕິບັດໄດ້ໄດ້ຖືກເປີດຕົວພ້ອມໆກັນ, ແຕ່ລະຄົນຕິດຕາມການປະກົດຕົວຂອງຄົນອື່ນແລະຟື້ນຟູມັນຖ້າມັນຢຸດເຊົາ.

ເພື່ອເຊື່ອງຜົນໄດ້ຮັບຂອງກິດຈະກໍາຂອງພວກເຂົາໃນ backdoor, ສູດການເຂົ້າລະຫັດຫຼາຍຖືກນໍາໃຊ້, ສໍາລັບຕົວຢ່າງ, AES ຖືກນໍາໃຊ້ເພື່ອເຂົ້າລະຫັດຊັບພະຍາກອນຂອງເຂົາເຈົ້າ, ແລະການປະສົມປະສານຂອງ AES, XOR ແລະ ROTATE ປະສົມປະສານກັບການບີບອັດໂດຍໃຊ້ ZLIB ຖືກນໍາໃຊ້ເພື່ອຊ່ອນຊ່ອງທາງການສື່ສານ. ກັບເຄື່ອງແມ່ຂ່າຍການຄວບຄຸມ.

ເພື່ອໃຫ້ໄດ້ຮັບຄໍາສັ່ງຄວບຄຸມ, malware ໄດ້ຕິດຕໍ່ 4 ໂດເມນຜ່ານພອດເຄືອຂ່າຍ 443 (ຊ່ອງທາງການສື່ສານໄດ້ໃຊ້ໂປໂຕຄອນຂອງຕົນເອງ, ບໍ່ແມ່ນ HTTPS ແລະ TLS). ໂດເມນ (cdn.mirror-codes.net, status.sublineover.net, blog.eduelects.com ແລະ news.thaprior.net) ໄດ້ຖືກລົງທະບຽນໃນປີ 2015 ແລະເປັນເຈົ້າພາບຈັດໂດຍ Kyiv hosting provider Deltahost. 12 ຫນ້າທີ່ພື້ນຖານໄດ້ຖືກລວມເຂົ້າກັບ backdoor, ເຊິ່ງອະນຸຍາດໃຫ້ໂຫລດແລະປະຕິບັດ plugins ທີ່ມີຫນ້າທີ່ກ້າວຫນ້າ, ການຖ່າຍທອດຂໍ້ມູນອຸປະກອນ, ການຂັດຂວາງຂໍ້ມູນທີ່ມີຄວາມອ່ອນໄຫວແລະການຄຸ້ມຄອງໄຟລ໌ທ້ອງຖິ່ນ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru