Китайских хакеров обвинили в атаках на Linux с применением вируса WolfsBane
источник: dall-e
Китайскую хакерскую группу Gelsemium обвинили в распространении опасного вредоносного ПО — бэкдора WolfsBane для Linux. Эксперты по кибербезопасности компании ESET полагают, что этот вредонос является портом аналогичного ПО для Windows.
Исследователи из ESET, проанализировавшие WolfsBane, заявили, что он представляет собой полноценный вредоносный инструмент, состоящий из дроппера, лаунчера и бэкдора. Также он использует модифицированный руткит с открытым исходным кодом для обхода обнаружения.
Эксперты обнаружили ещё одну вредоносную программу для Linux — FireWood, которая, вероятно, связана с аналогичной вредоносной программой для Windows под названием Project Wood. Отмечается, что FireWood, скорее всего, является общим инструментом, используемым несколькими китайскими APT-группами, а не эксклюзивным ПО, созданным Gelsemium.
По данным ESET, оба семейства вредоносных программ, обнаруженных на VirusTotal за последний год, являются частью более широкой тенденции. Всё больше APT-групп нацеливаются на платформы Linux, так как безопасность Windows значительно усилилась.
Аналитики отметили, что WolfsBane внедряется в системы через дроппер под названием «cron», который устанавливает компонент запуска, замаскированный под элемент рабочего стола KDE. В зависимости от уровня привилегий, с которыми он запускается, дроппер отключает SELinux, создаёт файлы системных служб или изменяет пользовательские конфигурации для обеспечения устойчивости. Загрузчик устанавливает компонент вредоносного ПО «udevd», который загружает три зашифрованные библиотеки, содержащие основные функции и конфигурацию для связи с сервером управления и контроля (C2).
В завершении модифицированная версия пользовательского руткита BEURK загружается через файл «/etc/ld.so.preload» для общесистемного подключения. Это помогает скрывать процессы, файлы и сетевой трафик, связанные с деятельностью WolfsBane.
