Forskare frÄn företagen Intezer och BlackBerry har upptÀckt skadlig programvara med kodnamnet Simbiote, som anvÀnds för att införa bakdörrar och rootkits pÄ komprometterade servrar som kör Linux. Den skadliga programvaran har identifierats i system hos finansinstitut i flera lÀnder i Latinamerika. För att installera Simbiote i systemet mÄste angriparen ha root-Äkomst, vilket kan uppnÄs genom att utnyttja obotade sÄrbarheter eller genom att stjÀla anvÀndarkonton. Simbiote gör det möjligt att etablera en permanent nÀrvaro i systemet efter en attack för att möjliggöra ytterligare attacker, dölja aktiviteten hos andra skadliga applikationer och organisera avlyssning av konfidentiell information.
En sÀrskild egenskap hos Simbiote Àr att den sprids i form av ett delat bibliotek som laddas vid start av alla processer med hjÀlp av mekanismen LD_PRELOAD och ersÀtter vissa anrop i standardbiblioteket. Hanterarna av de ersatta anropen döljer aktiviteten relaterad till bakdörren, till exempel genom att utesluta vissa objekt i processlistan, blockera Ätkomst till specifika filer i /proc, dölja filer i katalogerna, utesluta den skadliga delade biblioteket frÄn utdata av ldd (genom att fÄnga execve-funktionen och analysera anrop med miljövariabeln LD_TRACE_LOADED_OBJECTS), samt genom att inte visa nÀtverksocket relaterade till den skadliga aktiviteten.
För att skydda mot inspektion av trafik omdirigeras funktioner i biblioteket libpcap, lÀsning av /proc/net/tcp filtreras och en eBPF-program laddas in i kÀrnan, vilket förhindrar trafikanalysatorers arbete och undertrycker externa förfrÄgningar till egna nÀtverksbehandlare. eBPF-programmet körs som en av de första hanterarna och exekveras pÄ den lÀgsta nivÄn av nÀtverksstacken, vilket gör det möjligt att dölja nÀtverksaktiviteten hos bakdörren Àven för analysverktyg som körs senare.
Simbiote tillÄter ocksÄ att kringgÄ vissa aktivitetsanalysatorer i filsystemet, eftersom stöld av konfidentiella uppgifter kan ske inte pÄ filöppningsnivÄ, utan genom att avlyssna lÀsningsoperationer frÄn dessa filer i legitima applikationer (till exempel, genom att ersÀtta bibliotekfunktioner kan man avlyssna anvÀndarens inmatning av lösenord eller data som laddas frÄn filen med Ätkomstnyckeln). För att organisera fjÀrrinloggning avlyssnar Simbiote vissa PAM-anrop (Pluggable Authentication Module), vilket gör det möjligt att ansluta till systemet via SSH med specifika attackerande inloggningsuppgifter. Det finns ocksÄ en dold möjlighet att höja sina privilegier till anvÀndaren root genom att stÀlla in miljövariabeln HTTP_SETTHIS.
KĂ€lla: opennet.ru
