Simbiote हे एक Linux मालवेअर आहे जे लपवण्यासाठी eBPF आणि LD_PRELOAD वापरते

Intezer आणि BlackBerry मधील संशोधकांनी Simbiote कोडनेम असलेले मालवेअर शोधले आहे, ज्याचा उपयोग Linux चालवणार्‍या तडजोड केलेल्या सर्व्हरमध्ये बॅकडोअर आणि रूटकिट इंजेक्ट करण्यासाठी केला जातो. अनेक लॅटिन अमेरिकन देशांमधील वित्तीय संस्थांच्या प्रणालींवर मालवेअर आढळून आले. सिस्‍टीमवर सिंबिओट इंस्‍टॉल करण्‍यासाठी, आक्रमण करणार्‍याकडे रूट ऍक्‍सेस असणे आवश्‍यक आहे, जे मिळवता येते, उदाहरणार्थ, अनपॅच नसलेल्या भेद्यता किंवा खाते लीकचे शोषण केल्यामुळे. सिम्बिओट तुम्हाला हॅकिंगनंतर सिस्टीममध्ये तुमची उपस्थिती मजबूत करण्यासाठी पुढील हल्ले करण्यासाठी, इतर दुर्भावनापूर्ण ऍप्लिकेशन्सची अ‍ॅक्टिव्हिटी लपवण्यासाठी आणि गोपनीय डेटाचे व्यत्यय आयोजित करण्यास अनुमती देते.

सिम्बिओटचे एक विशेष वैशिष्ट्य म्हणजे ते सामायिक लायब्ररीच्या स्वरूपात वितरित केले जाते, जे LD_PRELOAD यंत्रणा वापरून सर्व प्रक्रिया सुरू करताना लोड केले जाते आणि मानक लायब्ररीमध्ये काही कॉल बदलते. स्पूफड कॉल हँडलर बॅकडोअर-संबंधित क्रियाकलाप लपवतात, जसे की प्रक्रिया सूचीमधील विशिष्ट आयटम वगळणे, /proc मधील विशिष्ट फायलींचा प्रवेश अवरोधित करणे, निर्देशिकांमध्ये फायली लपवणे, ldd आउटपुटमध्ये दुर्भावनापूर्ण सामायिक लायब्ररी वगळणे (execve फंक्शन हायजॅक करणे आणि कॉलचे विश्लेषण करणे. एनवायरमेंट व्हेरिएबल LD_TRACE_LOADED_OBJECTS) दुर्भावनायुक्त क्रियाकलापांशी संबंधित नेटवर्क सॉकेट्स दाखवत नाहीत.

रहदारी तपासणीपासून संरक्षण करण्यासाठी, libpcap लायब्ररी कार्ये पुन्हा परिभाषित केली जातात, /proc/net/tcp रीड फिल्टरिंग आणि एक eBPF प्रोग्राम कर्नलमध्ये लोड केला जातो, जो ट्रॅफिक विश्लेषकांच्या ऑपरेशनला प्रतिबंधित करतो आणि स्वतःच्या नेटवर्क हँडलरला तृतीय-पक्षाच्या विनंत्या टाकून देतो. eBPF प्रोग्राम पहिल्या प्रोसेसरमध्ये लॉन्च केला जातो आणि नेटवर्क स्टॅकच्या सर्वात खालच्या स्तरावर कार्यान्वित केला जातो, जो तुम्हाला नंतर लॉन्च केलेल्या विश्लेषकांसह, बॅकडोअर नेटवर्क क्रियाकलाप लपवू देतो.

सिम्बिओट तुम्हाला फाइल सिस्टममधील काही क्रियाकलाप विश्लेषकांना बायपास करण्याची परवानगी देखील देते, कारण गोपनीय डेटाची चोरी फाइल्स उघडण्याच्या स्तरावर केली जाऊ शकत नाही, परंतु कायदेशीर अनुप्रयोगांमध्ये या फाइल्समधून वाचन ऑपरेशन्समध्ये अडथळा आणून (उदाहरणार्थ, लायब्ररीची जागा बदलणे) फंक्शन्स तुम्हाला वापरकर्त्याला पासवर्ड एंटर करणार्‍या किंवा ऍक्सेस की वापरून फाइल डेटा लोड करणार्‍याला रोखू देते). रिमोट लॉगिन आयोजित करण्यासाठी, सिम्बिओट काही PAM कॉल्स (प्लग्गेबल ऑथेंटिकेशन मॉड्युल) इंटरसेप्ट करते, जे तुम्हाला काही अटॅकिंग क्रेडेंशियल्ससह SSH द्वारे सिस्टमशी कनेक्ट करण्याची परवानगी देते. HTTP_SETTHIS पर्यावरण व्हेरिएबल सेट करून रूट वापरकर्त्यासाठी तुमचे विशेषाधिकार वाढवण्याचा एक छुपा पर्याय देखील आहे.

स्त्रोत: opennet.ru