Симбиоте је Линук малвер који користи еБПФ и ЛД_ПРЕЛОАД за скривање

Истраживачи из Интезер-а и БлацкБерри-ја открили су злонамерни софтвер кодног имена Симбиоте, који се користи за убризгавање бацкдоор-а и руткита у компромитоване сервере који користе Линук. Малвер је откривен на системима финансијских институција у неколико земаља Латинске Америке. Да би инсталирао Симбиоте на систем, нападач мора да има роот приступ, који се може добити, на пример, као резултат искоришћавања незакрпљених рањивости или цурења налога. Симбиоте вам омогућава да консолидујете своје присуство у систему након хаковања како бисте извршили даље нападе, сакрили активности других злонамерних апликација и организовали пресретање поверљивих података.

Посебна карактеристика Симбиоте-а је то што се дистрибуира у облику дељене библиотеке, која се учитава током покретања свих процеса помоћу механизма ЛД_ПРЕЛОАД и замењује неке позиве стандардне библиотеке. Лажни руковаоци позивима сакривају активности повезане са бацкдоор-ом, као што је искључивање одређених ставки на листи процеса, блокирање приступа одређеним датотекама у /проц, скривање датотека у директоријумима, искључивање злонамерне дељене библиотеке у лдд излазу (отимање функције екецве и анализа позива помоћу променљива окружења ЛД_ТРАЦЕ_ЛОАДЕД_ОБЈЕЦТС) не приказују мрежне утичнице повезане са злонамерном активношћу.

Да би се заштитили од инспекције саобраћаја, функције библиотеке либпцап су редефинисане, /проц/нет/тцп филтрирање читања и еБПФ програм се учитава у језгро, што спречава рад анализатора саобраћаја и одбацује захтеве треће стране сопственим мрежним руковаоцима. Програм еБПФ се покреће међу првим процесорима и извршава се на најнижем нивоу мрежног стека, што вам омогућава да сакријете мрежну активност бацкдоор-а, укључујући и анализаторе који су покренути касније.

Симбиоте вам такође омогућава да заобиђете неке анализаторе активности у систему датотека, јер се крађа поверљивих података може извршити не на нивоу отварања датотека, већ путем пресретања операција читања из ових датотека у легитимним апликацијама (на пример, замена библиотеке функције вам омогућавају да пресретнете корисника који уноси лозинку или учитава податке из датотеке помоћу приступног кључа). Да би организовао даљинско пријављивање, Симбиоте пресреће неке ПАМ позиве (Плуггабле Аутхентицатион Модуле), који вам омогућава да се повежете са системом преко ССХ-а са одређеним нападачким акредитивима. Постоји и скривена опција да повећате своје привилегије роот кориснику постављањем променљиве окружења ХТТП_СЕТТХИС.

Извор: опеннет.ру