Simbiote മറയ്ക്കാൻ eBPF, LD_PRELOAD എന്നിവ ഉപയോഗിക്കുന്ന ഒരു Linux ക്ഷുദ്രവെയറാണ്

Intezer, BlackBerry എന്നിവിടങ്ങളിൽ നിന്നുള്ള ഗവേഷകർ Simbiote എന്ന കോഡ് നാമത്തിലുള്ള ക്ഷുദ്രവെയർ കണ്ടെത്തി, ഇത് Linux പ്രവർത്തിക്കുന്ന കോംപ്രമൈസ്ഡ് സെർവറുകളിലേക്ക് ബാക്ക്ഡോറുകളും റൂട്ട്കിറ്റുകളും കുത്തിവയ്ക്കാൻ ഉപയോഗിക്കുന്നു. നിരവധി ലാറ്റിനമേരിക്കൻ രാജ്യങ്ങളിലെ ധനകാര്യ സ്ഥാപനങ്ങളുടെ സിസ്റ്റങ്ങളിൽ ക്ഷുദ്രവെയർ കണ്ടെത്തി. ഒരു സിസ്റ്റത്തിൽ Simbiote ഇൻസ്റ്റാൾ ചെയ്യുന്നതിന്, ഒരു ആക്രമണകാരിക്ക് റൂട്ട് ആക്‌സസ് ഉണ്ടായിരിക്കണം, ഉദാഹരണത്തിന്, അൺപാച്ച് ചെയ്യാത്ത കേടുപാടുകൾ അല്ലെങ്കിൽ അക്കൗണ്ട് ചോർച്ച ചൂഷണം ചെയ്യുന്നതിന്റെ ഫലമായി ഇത് ലഭിക്കും. കൂടുതൽ ആക്രമണങ്ങൾ നടത്താനും മറ്റ് ക്ഷുദ്ര ആപ്ലിക്കേഷനുകളുടെ പ്രവർത്തനം മറയ്ക്കാനും രഹസ്യാത്മക ഡാറ്റയുടെ തടസ്സം സംഘടിപ്പിക്കാനും ഹാക്കിംഗിന് ശേഷം സിസ്റ്റത്തിൽ നിങ്ങളുടെ സാന്നിധ്യം ഏകീകരിക്കാൻ Simbiote നിങ്ങളെ അനുവദിക്കുന്നു.

സിംബിയോട്ടിന്റെ ഒരു പ്രത്യേക സവിശേഷത, ഇത് ഒരു പങ്കിട്ട ലൈബ്രറിയുടെ രൂപത്തിലാണ് വിതരണം ചെയ്യുന്നത്, ഇത് LD_PRELOAD മെക്കാനിസം ഉപയോഗിച്ച് എല്ലാ പ്രക്രിയകളും ആരംഭിക്കുമ്പോൾ ലോഡ് ചെയ്യുകയും സാധാരണ ലൈബ്രറിയിലേക്കുള്ള ചില കോളുകൾ മാറ്റിസ്ഥാപിക്കുകയും ചെയ്യുന്നു. പ്രോസസ് ലിസ്റ്റിലെ നിർദ്ദിഷ്ട ഇനങ്ങൾ ഒഴിവാക്കൽ, /proc-ലെ ചില ഫയലുകളിലേക്കുള്ള ആക്‌സസ് തടയൽ, ഡയറക്‌ടറികളിൽ ഫയലുകൾ മറയ്‌ക്കൽ, ldd ഔട്ട്‌പുട്ടിലെ ക്ഷുദ്രകരമായ പങ്കിട്ട ലൈബ്രറി ഒഴികെ (എക്‌സിക്‌വ് ഫംഗ്‌ഷൻ ഹൈജാക്ക് ചെയ്‌ത് കോളുകൾ വിശകലനം ചെയ്യുക) എന്നിങ്ങനെയുള്ള ബാക്ക്‌ഡോർ സംബന്ധിയായ ആക്‌റ്റിവിറ്റി സ്‌പൂഫ്ഡ് കോൾ ഹാൻഡ്‌ലറുകൾ മറയ്‌ക്കുന്നു. പരിസ്ഥിതി വേരിയബിൾ LD_TRACE_LOADED_OBJECTS) ക്ഷുദ്ര പ്രവർത്തനവുമായി ബന്ധപ്പെട്ട നെറ്റ്‌വർക്ക് സോക്കറ്റുകൾ കാണിക്കരുത്.

ട്രാഫിക് പരിശോധനയിൽ നിന്ന് പരിരക്ഷിക്കുന്നതിന്, libpcap ലൈബ്രറി ഫംഗ്‌ഷനുകൾ പുനർ നിർവചിക്കുകയും /proc/net/tcp റീഡ് ഫിൽട്ടറിംഗ് ചെയ്യുകയും ഒരു eBPF പ്രോഗ്രാം കേർണലിലേക്ക് ലോഡ് ചെയ്യുകയും ചെയ്യുന്നു, ഇത് ട്രാഫിക് അനലൈസറുകളുടെ പ്രവർത്തനത്തെ തടയുകയും സ്വന്തം നെറ്റ്‌വർക്ക് ഹാൻഡ്‌ലറുകളിലേക്കുള്ള മൂന്നാം കക്ഷി അഭ്യർത്ഥനകൾ നിരസിക്കുകയും ചെയ്യുന്നു. eBPF പ്രോഗ്രാം ആദ്യത്തെ പ്രോസസ്സറുകൾക്കിടയിൽ സമാരംഭിക്കുകയും നെറ്റ്‌വർക്ക് സ്റ്റാക്കിന്റെ ഏറ്റവും താഴ്ന്ന തലത്തിൽ നടപ്പിലാക്കുകയും ചെയ്യുന്നു, ഇത് പിന്നീട് ലോഞ്ച് ചെയ്ത അനലൈസറുകൾ ഉൾപ്പെടെയുള്ള ബാക്ക്‌ഡോറിന്റെ നെറ്റ്‌വർക്ക് പ്രവർത്തനം മറയ്ക്കാൻ നിങ്ങളെ അനുവദിക്കുന്നു.

ഫയൽ സിസ്റ്റത്തിലെ ചില ആക്‌റ്റിവിറ്റി അനലൈസറുകളെ മറികടക്കാൻ Simbiote നിങ്ങളെ അനുവദിക്കുന്നു, കാരണം രഹസ്യാത്മക ഡാറ്റ മോഷ്ടിക്കുന്നത് ഫയലുകൾ തുറക്കുന്ന തലത്തിലല്ല, മറിച്ച് നിയമാനുസൃതമായ ആപ്ലിക്കേഷനുകളിൽ (ഉദാഹരണത്തിന്, ലൈബ്രറി മാറ്റിസ്ഥാപിക്കുന്നതിലൂടെ) ഈ ഫയലുകളിൽ നിന്നുള്ള റീഡ് പ്രവർത്തനങ്ങൾ തടസ്സപ്പെടുത്തുന്നതിലൂടെയാണ്. ആക്‌സസ് കീ ഉപയോഗിച്ച് ഒരു പാസ്‌വേഡ് നൽകുന്നതോ ഫയൽ ഡാറ്റയിൽ നിന്ന് ലോഡുചെയ്യുന്നതോ ഉപയോക്താവിനെ തടസ്സപ്പെടുത്താൻ ഫംഗ്‌ഷനുകൾ നിങ്ങളെ അനുവദിക്കുന്നു). റിമോട്ട് ലോഗിൻ ഓർഗനൈസുചെയ്യുന്നതിന്, സിമ്പിയോട്ട് ചില PAM കോളുകൾ (പ്ലഗ്ഗബിൾ ഓതന്റിക്കേഷൻ മൊഡ്യൂൾ) തടസ്സപ്പെടുത്തുന്നു, ഇത് ചില ആക്രമണ ക്രെഡൻഷ്യലുകൾ ഉപയോഗിച്ച് SSH വഴി സിസ്റ്റത്തിലേക്ക് കണക്റ്റുചെയ്യാൻ നിങ്ങളെ അനുവദിക്കുന്നു. HTTP_SETTHIS എൻവയോൺമെന്റ് വേരിയബിൾ സജ്ജീകരിച്ച് റൂട്ട് ഉപയോക്താവിന് നിങ്ങളുടെ പ്രത്യേകാവകാശങ്ങൾ വർദ്ധിപ്പിക്കുന്നതിനുള്ള ഒരു മറഞ്ഞിരിക്കുന്ന ഓപ്ഷനും ഉണ്ട്.

അവലംബം: opennet.ru