O laboratório de pesquisa 360 Netlab relatou a descoberta de um novo malware para Linux, codinome RotaJakiro, que inclui a implementação de um backdoor que permite o controle do sistema. O malware poderia ter sido instalado por atacantes após explorar vulnerabilidades não corrigidas no sistema ou por meio da quebra de senhas inseguras.
O backdoor foi descoberto durante a análise de tráfego suspeito de um dos processos do sistema, identificado ao examinar a estrutura de um botnet usado para ataques DDoS. Antes disso, o RotaJakiro permaneceu indetectado por três anos, sendo que as primeiras tentativas de verificação no serviço VirusTotal de arquivos com hashes MD5 correspondentes ao malware identificado datam de maio de 2018.
Entre as características do RotaJakiro, destaca-se o uso de diferentes técnicas de camuflagem ao ser executado com privilégios de usuário não privilegiado e de root. Para ocultar sua presença, o backdoor utilizou nomes de processos como systemd-daemon, session-dbus e gvfsd-helper, que, considerando a sobrecarga de processos de sistema em distribuições modernas do Linux, pareciam legítimos à primeira vista e não levantavam suspeitas.
Ao ser executado com privilégios de root, para ativar o malware, foram criados scripts em /etc/init/systemd-agent.conf e /lib/systemd/system/sys-temd-agent.service, enquanto o arquivo executável do malware era colocado como /bin/systemd/systemd-daemon e /usr/lib/systemd/systemd-daemon (a funcionalidade foi duplicada em dois arquivos). Quando executado com privilégios de usuário comum, foi usado o arquivo de inicialização automática $HOME/.config/autostart/gnomehelper.desktop, mudanças foram feitas em .bashrc, e o executável foi salvo como $HOME/.gvfsd/.profile/gvfsd-helper e $HOME/.dbus/sessions/session-dbus. Ambos os arquivos executáveis eram iniciados simultaneamente, cada um monitorando a presença do outro e restaurando-o em caso de finalização.
Para ocultar os resultados de suas atividades, o backdoor utilizava vários algoritmos de criptografia, por exemplo, o AES era usado para criptografia de seus recursos, e para esconder o canal de comunicação com o controlador servidor utilizando uma combinação de AES, XOR e ROTATE em conjunto com a compressão por meio do ZLIB.
Para executar comandos de gerenciamento, o malware se conectou a 4 domínios através da porta de rede 443 (um protocolo próprio foi utilizado na comunicação, e não HTTPS ou TLS). Os domínios (cdn.mirror-codes.net, status.sublineover.net, blog.eduelects.com e news.thaprior.net) foram registrados em 2015 e estão hospedados na Deltahost em Kiev. provedor de hospedagem No backdoor foram integradas 12 funções básicas que permitiam carregar e executar plugins com funcionalidades expandidas, transmitir dados do dispositivo, interceptar informações confidenciais e gerenciar arquivos locais.
Fonte: opennet.ru
