सिम्बियोट लिनक्स मालवेयर हो जसले लुकाउन eBPF र LD_PRELOAD प्रयोग गर्दछ

Intezer र BlackBerry का अन्वेषकहरूले सिम्बियोट नामको मालवेयर पत्ता लगाएका छन्, जुन ब्याकडोर र रूटकिटहरू लिनक्स चल्ने सम्झौता गरिएका सर्भरहरूमा इन्जेक्ट गर्न प्रयोग गरिन्छ। धेरै ल्याटिन अमेरिकी देशहरूमा वित्तीय संस्थाहरूको प्रणालीहरूमा मालवेयर पत्ता लगाइएको थियो। प्रणालीमा सिम्बियोट स्थापना गर्नको लागि, आक्रमणकर्तासँग रूट पहुँच हुनुपर्दछ, जुन प्राप्त गर्न सकिन्छ, उदाहरणका लागि, अनप्याच गरिएको कमजोरी वा खाता चुहावटको शोषणको परिणामको रूपमा। सिम्बियोटले तपाईंलाई ह्याकिङ पछि प्रणालीमा आफ्नो उपस्थितिलाई थप आक्रमणहरू गर्न, अन्य दुर्भावनापूर्ण अनुप्रयोगहरूको गतिविधि लुकाउन र गोप्य डाटाको अवरोध व्यवस्थित गर्न अनुमति दिन्छ।

सिम्बियोटको विशेष विशेषता यो हो कि यसलाई साझा पुस्तकालयको रूपमा वितरण गरिन्छ, जुन LD_PRELOAD मेकानिजमको प्रयोग गरेर सबै प्रक्रियाहरूको स्टार्टअपको समयमा लोड हुन्छ र मानक पुस्तकालयमा केही कलहरू प्रतिस्थापन गर्दछ। स्पूफ कल ह्यान्डलरहरूले ब्याकडोर-सम्बन्धित गतिविधिहरू लुकाउँछन्, जस्तै प्रक्रिया सूचीमा विशिष्ट वस्तुहरू बाहेक, /proc मा निश्चित फाइलहरूमा पहुँच रोक्न, फाइलहरू डाइरेक्टरीहरूमा लुकाउने, ldd आउटपुटमा मालिसियस साझा लाइब्रेरी बाहेक (execve प्रकार्य अपहरण गर्ने र कलहरूको विश्लेषण गर्ने। वातावरण चर LD_TRACE_LOADED_OBJECTS) खराब गतिविधिसँग सम्बन्धित नेटवर्क सकेटहरू देखाउँदैन।

ट्राफिक निरीक्षणबाट जोगाउन, libpcap पुस्तकालय कार्यहरू पुन: परिभाषित गरिएको छ, /proc/net/tcp रिड फिल्टरिङ र एक eBPF कार्यक्रम कर्नेलमा लोड गरिएको छ, जसले ट्राफिक विश्लेषकहरूको सञ्चालनलाई रोक्छ र आफ्नै नेटवर्क ह्यान्डलरहरूलाई तेस्रो-पक्ष अनुरोधहरू खारेज गर्छ। eBPF कार्यक्रम पहिलो प्रोसेसरहरू बीच सुरु गरिएको छ र नेटवर्क स्ट्याकको सबैभन्दा तल्लो तहमा कार्यान्वयन गरिन्छ, जसले तपाइँलाई पछि लन्च गरिएका विश्लेषकहरू सहित ब्याकडोरको नेटवर्क गतिविधि लुकाउन अनुमति दिन्छ।

सिम्बियोटले तपाईंलाई फाइल प्रणालीमा केही गतिविधि विश्लेषकहरू बाइपास गर्न पनि अनुमति दिन्छ, किनकि गोप्य डाटाको चोरी फाइलहरू खोल्ने स्तरमा गर्न सकिँदैन, तर वैध अनुप्रयोगहरूमा यी फाइलहरूबाट पढ्ने कार्यहरू अवरोध गरेर (उदाहरणका लागि, पुस्तकालयको प्रतिस्थापन) प्रकार्यहरूले तपाइँलाई प्रयोगकर्तालाई पासवर्ड प्रविष्ट गर्न वा पहुँच कुञ्जीको साथ फाइल डाटाबाट लोड गर्न अवरोध गर्न अनुमति दिन्छ)। रिमोट लगइन व्यवस्थित गर्न, सिम्बियोटले केही PAM कलहरू (प्लग गर्न मिल्ने प्रमाणीकरण मोड्युल) लाई रोक्छ, जसले तपाईंलाई SSH मार्फत प्रणालीमा निश्चित आक्रमणकारी प्रमाणहरू जडान गर्न अनुमति दिन्छ। HTTP_SETTHIS वातावरण चर सेट गरेर रूट प्रयोगकर्तालाई तपाइँको विशेषाधिकारहरू बढाउन लुकेको विकल्प पनि छ।

स्रोत: opennet.ru