RotaJakiro ഒരു systemd പ്രക്രിയയായി മാറുന്ന ഒരു പുതിയ Linux ക്ഷുദ്രവെയറാണ്

റിസർച്ച് ലബോറട്ടറി 360 നെറ്റ്‌ലാബ് ലിനക്‌സിനായുള്ള പുതിയ ക്ഷുദ്രവെയറിന്റെ തിരിച്ചറിയൽ റിപ്പോർട്ടുചെയ്‌തു, റോട്ടജാകിറോ എന്ന കോഡ്‌നാമമുള്ളതും സിസ്റ്റം നിയന്ത്രിക്കാൻ നിങ്ങളെ അനുവദിക്കുന്ന ഒരു ബാക്ക്‌ഡോർ നടപ്പിലാക്കുന്നതും ഉൾപ്പെടെ. സിസ്റ്റത്തിലെ അൺപാച്ച് ചെയ്യാത്ത കേടുപാടുകൾ മുതലെടുത്തോ ദുർബലമായ പാസ്‌വേഡുകൾ ഊഹിച്ചോ ആക്രമണകാരികൾ ക്ഷുദ്രവെയർ ഇൻസ്റ്റാൾ ചെയ്തിരിക്കാം.

DDoS ആക്രമണത്തിന് ഉപയോഗിക്കുന്ന ബോട്ട്‌നെറ്റിന്റെ ഘടന വിശകലനം ചെയ്യുമ്പോൾ തിരിച്ചറിഞ്ഞ ഒരു സിസ്റ്റം പ്രക്രിയയിൽ നിന്നുള്ള സംശയാസ്പദമായ ട്രാഫിക്കിന്റെ വിശകലനത്തിനിടെയാണ് പിൻവാതിൽ കണ്ടെത്തിയത്. ഇതിനുമുമ്പ്, RotaJakiro മൂന്ന് വർഷത്തോളം കണ്ടെത്താനായില്ല; പ്രത്യേകിച്ചും, VirusTotal സേവനത്തിലെ തിരിച്ചറിഞ്ഞ മാൽവെയറുമായി പൊരുത്തപ്പെടുന്ന MD5 ഹാഷുകൾ ഉപയോഗിച്ച് ഫയലുകൾ സ്കാൻ ചെയ്യാനുള്ള ആദ്യ ശ്രമങ്ങൾ 2018 മെയ് മാസത്തിലായിരുന്നു.

RotaJakiro-യുടെ സവിശേഷതകളിലൊന്ന്, ഒരു പ്രത്യേകാവകാശമില്ലാത്ത ഉപയോക്താവായും റൂട്ടായും പ്രവർത്തിക്കുമ്പോൾ വ്യത്യസ്ത മറയ്ക്കൽ സാങ്കേതിക വിദ്യകളുടെ ഉപയോഗമാണ്. സാന്നിദ്ധ്യം മറയ്ക്കാൻ, പിൻവാതിൽ systemd-daemon, session-dbus, gvfsd-helper എന്നീ പ്രോസസ്സ് പേരുകൾ ഉപയോഗിച്ചു, ഇത് എല്ലാത്തരം സേവന പ്രക്രിയകളുമുള്ള ആധുനിക ലിനക്സ് വിതരണങ്ങളുടെ അലങ്കോലങ്ങൾ കണക്കിലെടുക്കുമ്പോൾ, ഒറ്റനോട്ടത്തിൽ നിയമാനുസൃതമായി തോന്നുകയും സംശയം ജനിപ്പിക്കുകയും ചെയ്തില്ല.

റൂട്ട് അവകാശങ്ങൾ ഉപയോഗിച്ച് പ്രവർത്തിപ്പിക്കുമ്പോൾ, ക്ഷുദ്രവെയർ സജീവമാക്കുന്നതിന് /etc/init/systemd-agent.conf, /lib/systemd/system/sys-temd-agent.service എന്നീ സ്ക്രിപ്റ്റുകൾ സൃഷ്ടിക്കപ്പെട്ടു, കൂടാതെ ക്ഷുദ്രകരമായ എക്സിക്യൂട്ടബിൾ ഫയൽ തന്നെ / bin/systemd/systemd -daemon കൂടാതെ /usr/lib/systemd/systemd-daemon (പ്രവർത്തനക്ഷമത രണ്ട് ഫയലുകളായി ഡ്യൂപ്ലിക്കേറ്റ് ചെയ്തു). ഒരു സാധാരണ ഉപയോക്താവായി പ്രവർത്തിക്കുമ്പോൾ, ഓട്ടോസ്റ്റാർട്ട് ഫയൽ $HOME/.config/au-tostart/gnomehelper.desktop ഉപയോഗിക്കുകയും .bashrc ലേക്ക് മാറ്റങ്ങൾ വരുത്തുകയും, എക്സിക്യൂട്ടബിൾ ഫയൽ $HOME/.gvfsd/.profile/gvfsd ആയി സേവ് ചെയ്യുകയും ചെയ്തു. -സഹായിയും $HOME/ .dbus/sessions/session-dbus. എക്സിക്യൂട്ടബിൾ രണ്ട് ഫയലുകളും ഒരേസമയം സമാരംഭിച്ചു, അവയിൽ ഓരോന്നും മറ്റൊന്നിന്റെ സാന്നിധ്യം നിരീക്ഷിക്കുകയും അത് അവസാനിപ്പിച്ചാൽ അത് പുനഃസ്ഥാപിക്കുകയും ചെയ്യുന്നു.

അവരുടെ പ്രവർത്തനങ്ങളുടെ ഫലങ്ങൾ പിൻവാതിലിൽ മറയ്ക്കാൻ, നിരവധി എൻക്രിപ്ഷൻ അൽഗോരിതങ്ങൾ ഉപയോഗിച്ചു, ഉദാഹരണത്തിന്, AES അവരുടെ ഉറവിടങ്ങൾ എൻക്രിപ്റ്റ് ചെയ്യാൻ ഉപയോഗിച്ചു, കൂടാതെ AES, XOR, ROTATE എന്നിവയുടെ സംയോജനവും ZLIB ഉപയോഗിച്ച് കംപ്രഷനും സംയോജിപ്പിച്ച് ആശയവിനിമയ ചാനൽ മറയ്ക്കാൻ ഉപയോഗിച്ചു. നിയന്ത്രണ സെർവർ ഉപയോഗിച്ച്.

നിയന്ത്രണ കമാൻഡുകൾ സ്വീകരിക്കുന്നതിന്, നെറ്റ്‌വർക്ക് പോർട്ട് 4 വഴി ക്ഷുദ്രവെയർ 443 ഡൊമെയ്‌നുകളെ ബന്ധപ്പെട്ടു (കമ്മ്യൂണിക്കേഷൻ ചാനൽ സ്വന്തം പ്രോട്ടോക്കോൾ ഉപയോഗിച്ചു, HTTPS, TLS എന്നിവയല്ല). ഡൊമെയ്‌നുകൾ (cdn.mirror-codes.net, status.sublineover.net, blog.eduelects.com, news.thaprior.net) 2015-ൽ രജിസ്റ്റർ ചെയ്യുകയും Kyiv ഹോസ്റ്റിംഗ് ദാതാവായ Deltahost ഹോസ്റ്റ് ചെയ്യുകയും ചെയ്തു. 12 അടിസ്ഥാന ഫംഗ്‌ഷനുകൾ ബാക്ക്‌ഡോറിലേക്ക് സംയോജിപ്പിച്ചിരിക്കുന്നു, ഇത് വിപുലമായ പ്രവർത്തനക്ഷമതയുള്ള പ്ലഗിനുകൾ ലോഡുചെയ്യാനും പ്രവർത്തിപ്പിക്കാനും അനുവദിക്കുകയും ഉപകരണ ഡാറ്റ കൈമാറുകയും സെൻസിറ്റീവ് ഡാറ്റയെ തടസ്സപ്പെടുത്തുകയും പ്രാദേശിക ഫയലുകൾ നിയന്ത്രിക്കുകയും ചെയ്യുന്നു.

അവലംബം: opennet.ru