Laboratorium badawcze 360 Netlab poinformowało o wykryciu nowego złośliwego oprogramowania dla systemu Linux, które otrzymało kodową nazwę RotaJakiro i zawiera implementację backdoora, pozwalającego na zarządzanie systemem. Złośliwe oprogramowanie mogło zostać zainstalowane przez atakujących po wykorzystaniu niezałatanych podatności w systemie lub przez odgadnięcie słabych haseł.
Backdoor został wykryty podczas analizy podejrzanego ruchu z jednego z procesów systemowych, zidentyfikowanego podczas analizy struktury botnetu, używanego do ataku DDoS. Przed tym RotaJakiro pozostawało niewykryte przez trzy lata, w szczególności pierwsze próby sprawdzenia w serwisie VirusTotal plików z haszami MD5 odpowiadającymi wykrytemu złośliwemu oprogramowaniu datowane są na maj 2018 roku.
Do cech RotaJakiro należy wykorzystanie różnych technik maskowania przy uruchamianiu z uprawnieniami użytkownika nieuprzywilejowanego i root. Aby ukryć swoją obecność, backdoor używał nazw procesów systemd-daemon, session-dbus i gvfsd-helper, które, biorąc pod uwagę zagracenie współczesnych dystrybucji Linux różnymi procesami roboczymi, na pierwszy rzut oka wydawały się legitymne i nie budziły podejrzeń.
Przy uruchamianiu z uprawnieniami root w celu aktywacji złośliwego oprogramowania tworzono skrypty /etc/init/systemd-agent.conf oraz /lib/systemd/system/sys-temd-agent.service, a samo złośliwe pliki wykonywalne umieszczano jako /bin/systemd/systemd-daemon oraz /usr/lib/systemd/systemd-daemon (funkcjonalność była duplikowana w dwóch plikach). Przy wykonywaniu z uprawnieniami zwykłego użytkownika używano pliku autostartu $HOME/.config/autostart/gnomehelper.desktop i wprowadzano zmiany w .bashrc, a plik wykonywalny przechowywano jako $HOME/.gvfsd/.profile/gvfsd-helper oraz $HOME/.dbus/sessions/session-dbus. Jednocześnie uruchamiano oba pliki wykonywalne, z których każdy monitorował obecność drugiego i przywracał go w przypadku zakończenia pracy.
Aby ukryć wyniki swojej działalności, w backdoorze zastosowano kilka algorytmów szyfrowania, na przykład do szyfrowania swoich zasobów wykorzystywano AES, a do ukrywania kanału komunikacyjnego z kontrolerem. serwerem zestaw AES, XOR i ROTATE w połączeniu ze skompresowaniem za pomocą ZLIB.
W celu uzyskania poleceń, złośliwe oprogramowanie łączyło się z 4 domenami przez port sieciowy 443 (użyto własnego protokołu w kanale komunikacyjnym, a nie HTTPS i TLS). Domeny (cdn.mirror-codes.net, status.sublineover.net, blog.eduelects.com i news.thaprior.net) zostały zarejestrowane w 2015 roku i są hostowane w Kijowie dostawcy hostingu Deltahost. W backdoora zintegrowano 12 podstawowych funkcji, które pozwalały na ładowanie i uruchamianie wtyczek z rozszerzoną funkcjonalnością, przesyłanie danych o urządzeniu, przechwytywanie poufnych danych oraz zarządzanie lokalnymi plikami.
Źródło: opennet.ru
