Simbiote е злонамерен софтвер на Linux што користи eBPF и LD_PRELOAD за да се скрие

Истражувачите од Intezer и BlackBerry открија малициозен софтвер со кодно име Simbiote, кој се користи за вбризгување задни врати и руткитови во компромитирани сервери со Linux. Злонамерен софтвер е откриен на системите на финансиските институции во неколку земји од Латинска Америка. За да се инсталира Simbiote на систем, напаѓачот мора да има root пристап, кој може да се добие, на пример, како резултат на искористување на незакрпени пропусти или протекување на сметката. Симбиот ви овозможува да го консолидирате вашето присуство во системот по хакирањето за да извршите дополнителни напади, да ја скриете активноста на други малициозни апликации и да организирате следење на доверливи податоци.

Посебна карактеристика на Simbiote е тоа што се дистрибуира во форма на споделена библиотека, која се вчитува при стартување на сите процеси со помош на механизмот LD_PRELOAD и заменува некои повици до стандардната библиотека. Измислените ракувачи со повици кријат активност поврзана со задна врата, како што се исклучување одредени ставки во списокот со процеси, блокирање пристап до одредени датотеки во /proc, криење датотеки во директориуми, исклучување на злонамерна споделена библиотека во излезот ldd (киднапирање на функцијата execve и анализа на повици со променливата на околината LD_TRACE_LOADED_OBJECTS) не прикажуваат мрежни приклучоци поврзани со злонамерна активност.

За заштита од сообраќајна инспекција, функциите на библиотеката libpcap се редефинираат, /proc/net/tcp филтрирање за читање и програма eBPF се вчита во кернелот, што ја спречува работата на сообраќајните анализатори и ги отфрла барањата од трети лица до сопствените мрежни ракувачи. Програмата eBPF е лансирана меѓу првите процесори и се извршува на најниското ниво на мрежниот оџак, што ви овозможува да ја скриете мрежната активност на задна врата, вклучително и од анализаторите лансирани подоцна.

Simbiote исто така ви овозможува да заобиколите некои анализатори на активности во датотечниот систем, бидејќи кражбата на доверливи податоци може да се изврши не на ниво на отворање датотеки, туку преку пресретнување операции за читање од овие датотеки во легитимни апликации (на пример, замена на библиотеката функциите ви овозможуваат да го пресретнете корисникот кој внесува лозинка или вчитува од податоци од датотека со клуч за пристап). За да организира далечинско најавување, Simbiote пресретнува некои PAM повици (Pluggable Authentication Module), кој ви овозможува да се поврзете со системот преку SSH со одредени акредитиви за напад. Исто така, постои скриена опција за зголемување на вашите привилегии на root корисникот со поставување на променливата на околината HTTP_SETTHIS.

Извор: opennet.ru