Simbiote ਇੱਕ Linux ਮਾਲਵੇਅਰ ਹੈ ਜੋ ਛੁਪਾਉਣ ਲਈ eBPF ਅਤੇ LD_PRELOAD ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ

ਇੰਟੈਜ਼ਰ ਅਤੇ ਬਲੈਕਬੇਰੀ ਦੇ ਖੋਜਕਰਤਾਵਾਂ ਨੇ ਸਿਮਬਿਓਟ ਕੋਡਨੇਮ ਵਾਲੇ ਮਾਲਵੇਅਰ ਦੀ ਖੋਜ ਕੀਤੀ ਹੈ, ਜਿਸ ਦੀ ਵਰਤੋਂ ਲੀਨਕਸ ਨੂੰ ਚਲਾਉਣ ਵਾਲੇ ਸਮਝੌਤਾ ਕੀਤੇ ਸਰਵਰਾਂ ਵਿੱਚ ਬੈਕਡੋਰਸ ਅਤੇ ਰੂਟਕਿਟਸ ਨੂੰ ਇੰਜੈਕਟ ਕਰਨ ਲਈ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। ਕਈ ਲਾਤੀਨੀ ਅਮਰੀਕੀ ਦੇਸ਼ਾਂ ਵਿੱਚ ਵਿੱਤੀ ਸੰਸਥਾਵਾਂ ਦੇ ਸਿਸਟਮਾਂ 'ਤੇ ਮਾਲਵੇਅਰ ਦਾ ਪਤਾ ਲਗਾਇਆ ਗਿਆ ਸੀ। ਇੱਕ ਸਿਸਟਮ ਉੱਤੇ ਸਿਮਬਿਓਟ ਨੂੰ ਸਥਾਪਿਤ ਕਰਨ ਲਈ, ਇੱਕ ਹਮਲਾਵਰ ਕੋਲ ਰੂਟ ਪਹੁੰਚ ਹੋਣੀ ਚਾਹੀਦੀ ਹੈ, ਜੋ ਕਿ ਪ੍ਰਾਪਤ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ, ਉਦਾਹਰਨ ਲਈ, ਅਣਪਛਾਤੇ ਕਮਜ਼ੋਰੀਆਂ ਜਾਂ ਖਾਤਾ ਲੀਕ ਦਾ ਸ਼ੋਸ਼ਣ ਕਰਨ ਦੇ ਨਤੀਜੇ ਵਜੋਂ। ਸਿਮਬਿਓਟ ਤੁਹਾਨੂੰ ਹੋਰ ਹਮਲੇ ਕਰਨ, ਹੋਰ ਖਤਰਨਾਕ ਐਪਲੀਕੇਸ਼ਨਾਂ ਦੀ ਗਤੀਵਿਧੀ ਨੂੰ ਛੁਪਾਉਣ ਅਤੇ ਗੁਪਤ ਡੇਟਾ ਦੀ ਰੁਕਾਵਟ ਨੂੰ ਸੰਗਠਿਤ ਕਰਨ ਲਈ ਹੈਕਿੰਗ ਤੋਂ ਬਾਅਦ ਸਿਸਟਮ ਵਿੱਚ ਤੁਹਾਡੀ ਮੌਜੂਦਗੀ ਨੂੰ ਮਜ਼ਬੂਤ ​​ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ।

ਸਿਮਬਿਓਟ ਦੀ ਇੱਕ ਵਿਸ਼ੇਸ਼ ਵਿਸ਼ੇਸ਼ਤਾ ਇਹ ਹੈ ਕਿ ਇਹ ਇੱਕ ਸਾਂਝੀ ਲਾਇਬ੍ਰੇਰੀ ਦੇ ਰੂਪ ਵਿੱਚ ਵੰਡਿਆ ਜਾਂਦਾ ਹੈ, ਜੋ ਕਿ LD_PRELOAD ਵਿਧੀ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਸਾਰੀਆਂ ਪ੍ਰਕਿਰਿਆਵਾਂ ਦੇ ਸ਼ੁਰੂ ਹੋਣ ਦੇ ਦੌਰਾਨ ਲੋਡ ਹੁੰਦਾ ਹੈ ਅਤੇ ਸਟੈਂਡਰਡ ਲਾਇਬ੍ਰੇਰੀ ਵਿੱਚ ਕੁਝ ਕਾਲਾਂ ਨੂੰ ਬਦਲਦਾ ਹੈ। ਸਪੌਫਡ ਕਾਲ ਹੈਂਡਲਰ ਬੈਕਡੋਰ-ਸਬੰਧਤ ਗਤੀਵਿਧੀ ਨੂੰ ਲੁਕਾਉਂਦੇ ਹਨ, ਜਿਵੇਂ ਕਿ ਪ੍ਰਕਿਰਿਆ ਸੂਚੀ ਵਿੱਚ ਖਾਸ ਆਈਟਮਾਂ ਨੂੰ ਛੱਡਣਾ, /proc ਵਿੱਚ ਕੁਝ ਫਾਈਲਾਂ ਤੱਕ ਪਹੁੰਚ ਨੂੰ ਬਲੌਕ ਕਰਨਾ, ਡਾਇਰੈਕਟਰੀਆਂ ਵਿੱਚ ਫਾਈਲਾਂ ਨੂੰ ਲੁਕਾਉਣਾ, ldd ਆਉਟਪੁੱਟ ਵਿੱਚ ਖਤਰਨਾਕ ਸ਼ੇਅਰਡ ਲਾਇਬ੍ਰੇਰੀ ਨੂੰ ਛੱਡਣਾ (ਐਗਜ਼ੀਕਵ ਫੰਕਸ਼ਨ ਨੂੰ ਹਾਈਜੈਕ ਕਰਨਾ ਅਤੇ ਇੱਕ ਨਾਲ ਕਾਲਾਂ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਨਾ। ਵਾਤਾਵਰਣ ਵੇਰੀਏਬਲ LD_TRACE_LOADED_OBJECTS) ਖਤਰਨਾਕ ਗਤੀਵਿਧੀ ਨਾਲ ਜੁੜੇ ਨੈੱਟਵਰਕ ਸਾਕਟ ਨਹੀਂ ਦਿਖਾਉਂਦੇ ਹਨ।

ਟ੍ਰੈਫਿਕ ਨਿਰੀਖਣ ਤੋਂ ਬਚਾਉਣ ਲਈ, libpcap ਲਾਇਬ੍ਰੇਰੀ ਫੰਕਸ਼ਨਾਂ ਨੂੰ ਮੁੜ ਪਰਿਭਾਸ਼ਿਤ ਕੀਤਾ ਗਿਆ ਹੈ, /proc/net/tcp ਰੀਡ ਫਿਲਟਰਿੰਗ ਅਤੇ ਇੱਕ eBPF ਪ੍ਰੋਗਰਾਮ ਕਰਨਲ ਵਿੱਚ ਲੋਡ ਕੀਤਾ ਗਿਆ ਹੈ, ਜੋ ਟ੍ਰੈਫਿਕ ਵਿਸ਼ਲੇਸ਼ਕਾਂ ਦੇ ਸੰਚਾਲਨ ਨੂੰ ਰੋਕਦਾ ਹੈ ਅਤੇ ਇਸਦੇ ਆਪਣੇ ਨੈੱਟਵਰਕ ਹੈਂਡਲਰਾਂ ਨੂੰ ਤੀਜੀ-ਧਿਰ ਦੀਆਂ ਬੇਨਤੀਆਂ ਨੂੰ ਰੱਦ ਕਰਦਾ ਹੈ। eBPF ਪ੍ਰੋਗਰਾਮ ਨੂੰ ਪਹਿਲੇ ਪ੍ਰੋਸੈਸਰਾਂ ਵਿੱਚ ਲਾਂਚ ਕੀਤਾ ਗਿਆ ਹੈ ਅਤੇ ਇਸਨੂੰ ਨੈੱਟਵਰਕ ਸਟੈਕ ਦੇ ਸਭ ਤੋਂ ਹੇਠਲੇ ਪੱਧਰ 'ਤੇ ਚਲਾਇਆ ਜਾਂਦਾ ਹੈ, ਜੋ ਤੁਹਾਨੂੰ ਬੈਕਡੋਰ ਦੀ ਨੈੱਟਵਰਕ ਗਤੀਵਿਧੀ ਨੂੰ ਲੁਕਾਉਣ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ, ਜਿਸ ਵਿੱਚ ਬਾਅਦ ਵਿੱਚ ਲਾਂਚ ਕੀਤੇ ਗਏ ਵਿਸ਼ਲੇਸ਼ਕਾਂ ਤੋਂ ਵੀ ਸ਼ਾਮਲ ਹੈ।

ਸਿਮਬਿਓਟ ਤੁਹਾਨੂੰ ਫਾਈਲ ਸਿਸਟਮ ਵਿੱਚ ਕੁਝ ਗਤੀਵਿਧੀ ਵਿਸ਼ਲੇਸ਼ਕਾਂ ਨੂੰ ਬਾਈਪਾਸ ਕਰਨ ਦੀ ਵੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ, ਕਿਉਂਕਿ ਗੁਪਤ ਡੇਟਾ ਦੀ ਚੋਰੀ ਫਾਈਲਾਂ ਨੂੰ ਖੋਲ੍ਹਣ ਦੇ ਪੱਧਰ 'ਤੇ ਨਹੀਂ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ, ਪਰ ਜਾਇਜ਼ ਐਪਲੀਕੇਸ਼ਨਾਂ ਵਿੱਚ ਇਹਨਾਂ ਫਾਈਲਾਂ ਤੋਂ ਰੀਡ ਓਪਰੇਸ਼ਨਾਂ ਨੂੰ ਰੋਕ ਕੇ (ਉਦਾਹਰਨ ਲਈ, ਲਾਇਬ੍ਰੇਰੀ ਦਾ ਬਦਲਣਾ) ਫੰਕਸ਼ਨ ਤੁਹਾਨੂੰ ਉਪਭੋਗਤਾ ਨੂੰ ਪਾਸਵਰਡ ਦਾਖਲ ਕਰਨ ਜਾਂ ਐਕਸੈਸ ਕੁੰਜੀ ਨਾਲ ਫਾਈਲ ਡੇਟਾ ਤੋਂ ਲੋਡ ਕਰਨ ਵਾਲੇ ਉਪਭੋਗਤਾ ਨੂੰ ਰੋਕਣ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ)। ਰਿਮੋਟ ਲੌਗਇਨ ਨੂੰ ਸੰਗਠਿਤ ਕਰਨ ਲਈ, ਸਿਮਬਿਓਟ ਕੁਝ PAM ਕਾਲਾਂ (ਪਲੱਗੇਬਲ ਪ੍ਰਮਾਣੀਕਰਨ ਮੋਡੀਊਲ) ਨੂੰ ਰੋਕਦਾ ਹੈ, ਜੋ ਤੁਹਾਨੂੰ ਕੁਝ ਹਮਲਾਵਰ ਪ੍ਰਮਾਣ ਪੱਤਰਾਂ ਨਾਲ SSH ਰਾਹੀਂ ਸਿਸਟਮ ਨਾਲ ਜੁੜਨ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ। HTTP_SETTHIS ਵਾਤਾਵਰਣ ਵੇਰੀਏਬਲ ਨੂੰ ਸੈੱਟ ਕਰਕੇ ਰੂਟ ਉਪਭੋਗਤਾ ਲਈ ਤੁਹਾਡੇ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰਾਂ ਨੂੰ ਵਧਾਉਣ ਲਈ ਇੱਕ ਲੁਕਿਆ ਵਿਕਲਪ ਵੀ ਹੈ।

ਸਰੋਤ: opennet.ru