Linux-вредонос knock-outd запускает отдельный файл по сетевому триггеру
Образец ВПО для Linux под названием knock-outd представляет собой статически скомпонованный исполняемый файл для архитектуры x86-64 с библиотекой libpcap. Он отслеживает пакеты на сетевом интерфейсе и при обнаружении специально сформированной активности запускает отдельный файл /sbin/xfs_timesupdate, передавая ему IP-адрес и порт. Саму полезную нагрузку исследователи не извлекли, поэтому её точные возможности неизвестны. Наблюдаемое поведение соответствует обратному шеллу или другому компоненту удалённого доступа. На момент описываемых событий VirusTotal не показывал детектов образца. Файл загрузили 25 мая 2026 года.
Для запуска программе нужны права UID 0 и сетевой интерфейс, который указывают в командной строке. ВПО переводит интерфейс в режим промискуитета и ищет заданные пакеты. При старте оно заменяет видимые аргументы процесса на bash и пробелы, меняет рабочий каталог на / и запускает дочерний процесс для мониторинга пакетов.
Родительский процесс выполняет функции надзирателя: примерно раз в два часа отправляет дочернему процессу сигнал SIGTERM, ожидает его завершения с помощью waitpid, делает паузу на одну секунду и запускает новый экземпляр. В отчёте такое устройство описано как разделение механизмов закрепления и мониторинга пакетов от неизвестной полезной нагрузки.
Логика активации использует простукивание портов и фильтрует трафик по исходному порту и адресу назначения. Вызов вспомогательного модуля содержит строку /sbin/xfs_timesupdate %s %d. Среди связанных с портами индикаторов указаны вспомогательные порты 443, 80, 53, 110, 8080 и 25, а также дополнительные закодированные значения триггера пакета: 35646, 46589 и 41232.
Для исходного порта 41238 код считывает четыре байта за пределами объекта по адресу 0x532138. Эти значения равны нулю из-за заполнения, связанного с выравниванием. В бинарном файле есть запись STT_FILE для knock-outd.c и символы kernelfuc, rever_port и srcip_previous.6119. Правило YARA для поиска угроз проверяет формат ELF, путь к вспомогательному модулю, строку фильтрации пакетов, константы портов и хеш образца, описанный как похожий на SHA-1: 7ccdbf6d7cfbd987a4247583bbcff308cd31734d12071dfc26c7999266602cfa.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
