{"id":100066,"date":"2021-04-30T16:23:09","date_gmt":"2021-04-30T14:23:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/rotajakiro-novoe-vredonosnoe-po-dlya-linux-maskiruyushheesya-pod-proczess-systemd"},"modified":"2021-04-30T16:23:09","modified_gmt":"2021-04-30T14:23:09","slug":"rotajakiro-novoe-vredonosnoe-po-dlya-linux-maskiruyushheesya-pod-proczess-systemd","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/rotajakiro-novoe-vredonosnoe-po-dlya-linux-maskiruyushheesya-pod-proczess-systemd","title":{"rendered":"RotaJakiro \u2014 nieuwe malware voor Linux, die zich voordoet als het proces systemd","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Het 360 Netlab onderzoeksprogramma heeft melding gemaakt van een nieuwe malware voor Linux, met de codenaam RotaJakiro, die een backdoor bevat waarmee het systeem kan worden beheerd. De malware kan door aanvallers zijn ge\u00efnstalleerd na het exploiteren van onopgeloste kwetsbaarheden in het systeem of door het raden van onbetrouwbare wachtwoorden. <\/p>\n

De backdoor werd ontdekt tijdens de analyse van verdachte verkeer van een van de systeemploegen, gevonden tijdens het onderzoeken van de structuur van een botnet dat werd gebruikt voor DDoS-aanvallen. Voorafgaand aan dit moment was RotaJakiro drie jaar onopgemerkt gebleven; de eerste pogingen om bestanden met MD5-hashes die overeenkwamen met de ontdekte malware te controleren via de dienst VirusTotal dateren uit mei 2018. <\/p>\n

Een kenmerk van RotaJakiro is het gebruik van verschillende camouflage technieken bij het opstarten met zowel niet-privilege gebruiker als root-rechten. Om zijn aanwezigheid te verbergen, gebruikte de backdoor de procesnamen systemd-daemon, session-dbus en gvfsd-helper, die, gezien de overvloed aan verschillende achtergrondprocessen in moderne Linux-distributies, op het eerste gezicht legitiem leken en geen argwaan wekten. <\/p>\n

Bij het opstarten met root-rechten werden scripts aangemaakt zoals \/etc\/init\/systemd-agent.conf en \/lib\/systemd\/system\/sys-temd-agent.service, terwijl het malware-uitvoerbare bestand werd geplaatst als \/bin\/systemd\/systemd-daemon en \/usr\/lib\/systemd\/systemd-daemon (de functionaliteit werd in beide bestanden gedupliceerd). Bij uitvoering met de rechten van een gewone gebruiker werd het autostartbestand $HOME\/.config\/autostart\/gnomehelper.desktop gebruikt en werden wijzigingen aangebracht in .bashrc, terwijl het uitvoerbare bestand werd opgeslagen als $HOME\/.gvfsd\/.profile\/gvfsd-helper en $HOME\/.dbus\/sessions\/session-dbus. Beide uitvoerbare bestanden werden gelijktijdig opgestart, waarbij elk toezicht hield op de aanwezigheid van de andere en deze herstelde in geval van be\u00ebindiging. <\/p>\n

Om de resultaten van zijn activiteiten te verbergen, gebruikte de backdoor verschillende versleutelingsalgoritmen; bijvoorbeeld, voor de versleuteling van zijn bronnen werd AES gebruikt, en om de communicatie met de beheerder te verbergen. server<\/a> de combinatie van AES, XOR en ROTATE in combinatie met compressie met ZLIB. <\/p>\n

Voor het ontvangen van beheerscommando's heeft de malware verbinding gemaakt met 4 domeinen via netwerkpoort 443 (in de communicatielaag werd een eigen protocol gebruikt, in plaats van HTTPS en TLS). De domeinen (cdn.mirror-codes.net, status.sublineover.net, blog.eduelects.com en news.thaprior.net) werden geregistreerd in 2015 en gehost door Kiev. van de hostingprovider<\/a> Deltahost. In de backdoor waren 12 basisfuncties ge\u00efntegreerd, die het mogelijk maakten om plugins met uitgebreide functionaliteit te uploaden en uit te voeren, apparaatgegevens te verzenden, vertrouwelijke informatie te onderscheppen en lokale bestanden te beheren.
\n
Bron: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0418\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u0441\u043a\u0430\u044f \u043b\u0430\u0431\u043e\u0440\u0430\u0442\u043e\u0440\u0438\u044f 360 Netlab \u0441\u043e\u043e\u0431\u0449\u0438\u043b\u0430 \u043e \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0438\u0438 \u043d\u043e\u0432\u043e\u0433\u043e \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u041f\u041e \u0434\u043b\u044f Linux, \u043f\u043e\u043b\u0443\u0447\u0438\u0432\u0448\u0435\u0433\u043e \u043a\u043e\u0434\u043e\u0432\u043e\u0435 \u0438\u043c\u044f RotaJakiro \u0438 \u0432\u043a\u043b\u044e\u0447\u0430\u044e\u0449\u0435\u0433\u043e \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044e \u0431\u044d\u043a\u0434\u043e\u0440\u0430, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0435\u0433\u043e \u0443\u043f\u0440\u0430\u0432\u043b\u044f\u0442\u044c \u0441\u0438\u0441\u0442\u0435\u043c\u043e\u0439. \u0412\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0435 \u041f\u041e \u043c\u043e\u0433\u043b\u043e \u0431\u044b\u0442\u044c \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u043e \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u043c\u0438 \u043f\u043e\u0441\u043b\u0435 \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u0438 \u043d\u0435\u0438\u0441\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u043d\u044b\u0445 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u0438\u043b\u0438 \u043f\u043e\u0434\u0431\u043e\u0440\u0430 \u043d\u0435\u043d\u0430\u0434\u0451\u0436\u043d\u044b\u0445 \u043f\u0430\u0440\u043e\u043b\u0435\u0439. \u0411\u044d\u043a\u0434\u043e\u0440 \u0431\u044b\u043b \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d \u0432 \u0445\u043e\u0434\u0435 \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u043f\u043e\u0434\u043e\u0437\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0433\u043e \u0442\u0440\u0430\u0444\u0438\u043a\u0430 \u043e\u0442 \u043e\u0434\u043d\u043e\u0433\u043e \u0438\u0437 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u044b\u0445 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0432, \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u043d\u043e\u0433\u043e \u043f\u0440\u0438 \u0440\u0430\u0437\u0431\u043e\u0440\u0435 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-100066","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47RotaJakiro \u2014 nieuwe malware voor Linux, vermomd als systemd proces | ProHoster","description":"Het onderzoekslaboratorium 360 Netlab heeft melding gemaakt van de ontdekking van nieuwe malware voor Linux, die de codenaam RotaJakiro heeft gekregen en die een implementatie van een backdoor omvat waarmee het systeem kan worden beheerd.","canonical_url":"https:\/\/prohoster.info\/nl\/blog\/news\/rotajakiro-novoe-vredonosnoe-po-dlya-linux-maskiruyushheesya-pod-proczess-systemd","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"nl_NL","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47RotaJakiro \u2014 \u043d\u043e\u0432\u043e\u0435 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0435 \u041f\u041e \u0434\u043b\u044f Linux, \u043c\u0430\u0441\u043a\u0438\u0440\u0443\u044e\u0449\u0435\u0435\u0441\u044f \u043f\u043e\u0434 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 systemd | ProHoster","og:description":"\u0418\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u0441\u043a\u0430\u044f \u043b\u0430\u0431\u043e\u0440\u0430\u0442\u043e\u0440\u0438\u044f 360 Netlab \u0441\u043e\u043e\u0431\u0449\u0438\u043b\u0430 \u043e \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0438\u0438 \u043d\u043e\u0432\u043e\u0433\u043e \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u041f\u041e \u0434\u043b\u044f Linux, \u043f\u043e\u043b\u0443\u0447\u0438\u0432\u0448\u0435\u0433\u043e \u043a\u043e\u0434\u043e\u0432\u043e\u0435 \u0438\u043c\u044f RotaJakiro \u0438 \u0432\u043a\u043b\u044e\u0447\u0430\u044e\u0449\u0435\u0433\u043e \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044e \u0431\u044d\u043a\u0434\u043e\u0440\u0430, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0435\u0433\u043e \u0443\u043f\u0440\u0430\u0432\u043b\u044f\u0442\u044c \u0441\u0438\u0441\u0442\u0435\u043c\u043e\u0439.","og:url":"https:\/\/prohoster.info\/nl\/blog\/news\/rotajakiro-novoe-vredonosnoe-po-dlya-linux-maskiruyushheesya-pod-proczess-systemd","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2021-04-30T14:23:09+00:00","article:modified_time":"2021-04-30T14:23:09+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"100066","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-04-30 14:30:04","updated":"2026-02-09 21:46:38","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/100066","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/comments?post=100066"}],"version-history":[{"count":2,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/100066\/revisions"}],"predecessor-version":[{"id":160289,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/100066\/revisions\/160289"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/media?parent=100066"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/categories?post=100066"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/tags?post=100066"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}