Het 360 Netlab onderzoeksprogramma heeft melding gemaakt van een nieuwe malware voor Linux, met de codenaam RotaJakiro, die een backdoor bevat waarmee het systeem kan worden beheerd. De malware kan door aanvallers zijn geïnstalleerd na het exploiteren van onopgeloste kwetsbaarheden in het systeem of door het raden van onbetrouwbare wachtwoorden.
De backdoor werd ontdekt tijdens de analyse van verdachte verkeer van een van de systeemploegen, gevonden tijdens het onderzoeken van de structuur van een botnet dat werd gebruikt voor DDoS-aanvallen. Voorafgaand aan dit moment was RotaJakiro drie jaar onopgemerkt gebleven; de eerste pogingen om bestanden met MD5-hashes die overeenkwamen met de ontdekte malware te controleren via de dienst VirusTotal dateren uit mei 2018.
Een kenmerk van RotaJakiro is het gebruik van verschillende camouflage technieken bij het opstarten met zowel niet-privilege gebruiker als root-rechten. Om zijn aanwezigheid te verbergen, gebruikte de backdoor de procesnamen systemd-daemon, session-dbus en gvfsd-helper, die, gezien de overvloed aan verschillende achtergrondprocessen in moderne Linux-distributies, op het eerste gezicht legitiem leken en geen argwaan wekten.
Bij het opstarten met root-rechten werden scripts aangemaakt zoals /etc/init/systemd-agent.conf en /lib/systemd/system/sys-temd-agent.service, terwijl het malware-uitvoerbare bestand werd geplaatst als /bin/systemd/systemd-daemon en /usr/lib/systemd/systemd-daemon (de functionaliteit werd in beide bestanden gedupliceerd). Bij uitvoering met de rechten van een gewone gebruiker werd het autostartbestand $HOME/.config/autostart/gnomehelper.desktop gebruikt en werden wijzigingen aangebracht in .bashrc, terwijl het uitvoerbare bestand werd opgeslagen als $HOME/.gvfsd/.profile/gvfsd-helper en $HOME/.dbus/sessions/session-dbus. Beide uitvoerbare bestanden werden gelijktijdig opgestart, waarbij elk toezicht hield op de aanwezigheid van de andere en deze herstelde in geval van beëindiging.
Om de resultaten van zijn activiteiten te verbergen, gebruikte de backdoor verschillende versleutelingsalgoritmen; bijvoorbeeld, voor de versleuteling van zijn bronnen werd AES gebruikt, en om de communicatie met de beheerder te verbergen. server de combinatie van AES, XOR en ROTATE in combinatie met compressie met ZLIB.
Voor het ontvangen van beheerscommando's heeft de malware verbinding gemaakt met 4 domeinen via netwerkpoort 443 (in de communicatielaag werd een eigen protocol gebruikt, in plaats van HTTPS en TLS). De domeinen (cdn.mirror-codes.net, status.sublineover.net, blog.eduelects.com en news.thaprior.net) werden geregistreerd in 2015 en gehost door Kiev. van de hostingprovider Deltahost. In de backdoor waren 12 basisfuncties geïntegreerd, die het mogelijk maakten om plugins met uitgebreide functionaliteit te uploaden en uit te voeren, apparaatgegevens te verzenden, vertrouwelijke informatie te onderscheppen en lokale bestanden te beheren.
Bron: opennet.ru
