Вредоносные программы для Linux маскируются под системные процессы

Rapid7 обнаружила вредоносное ПО для Linux, нацеленное на телекоммуникационное оборудование, системы защиты почты и сетевые периметры. Среди найденных образцов новый вариант BPFDoor, Rekoobe с поддержкой BPF, дроппер для устройств ShareTech и шесть связанных сборок AVERAT, применявшихся против тайваньских устройств. Вредоносное ПО маскируется под программы, связанные с телекоммуникационным оборудованием, средствами защиты от спама, почтовыми серверами, Oracle и аппаратным ПО.

BPFDoor и Rekoobe скрывают активность в сетевом трафике

Варианты BPFDoor создают сокеты сырых пакетов и подключают классические BPF-фильтры. С их помощью вредоносное ПО пассивно отслеживает трафик и ищет магические значения, не прибегая к традиционному сканированию портов. Одна корейская кластерная группа использует триггерные значения UDP, TCP и ICMP, имитирует файл PID SpamSniper и циклически перебирает имена демонов Linux. Аутентифицированные триггеры могут запускать обратные вызовы, оболочки с прослушивающим портом или поведение UDP knock.

Другой образец использует уникальную 14-байтовую полезную нагрузку и подделывает имена процессов, связанных с Oracle. Для интерактивного доступа, загрузки и скачивания он предоставляет команды Tiny Shell. В более новом образце контроллер маскирует триггер под HTTPS-запрос POST. Он использует фиксированный маркер и динамический разбор данных, чтобы сохранять работоспособность при изменениях заголовков прокси и потенциально обходить глубокую инспекцию пакетов.

Образец Rekoobe с поддержкой BPF отслеживает связанный с портом 25 трафик IPv4 TCP, UDP и SCTP, а также IPv6 UDP. Он применяет зашифрованное рукопожатие, обрабатывает команды с помощью HMAC-SHA1 и AES-CBC, затем устанавливает соединение через обратную оболочку, замаскированную под демон qmail rblsmtpd. Чтобы подавлять историю команд, образец устанавливает переменные HISTFILE=/dev/null, HISTSIZE=0 и VIMINIT.

Дроппер ShareTech и сборки AVERAT

Дроппер для устройств ShareTech содержит зашифрованные с помощью AES полезные нагрузки, производные от имени поставщика. После получения доступа он проверяет наличие файла /tmp/flag и отсутствие маркерного скрипта. Затем дроппер записывает и запускает shell-скрипт с доступного для записи смонтированного тома хранилища устройства. Скрипт копирует полезные нагрузки в каталог /sbin под именами ntpdate и udevds, запускает их и удаляет через десять секунд.

Дроппер перезапускается как процесс watchdog и воссоздаёт отсутствующие компоненты. В результате пути /proc/<pid>/exe соответствующих процессов заканчиваются на (deleted). AVERAT разворачивается аналогичным образом. В качестве ретрансляторов управления используются скомпрометированные тайваньские NAS, DVR и сетевые устройства, замаскированные под SMTP. Некоторые системы также предоставляют доступ к установленным оператором сервисам PPTP, что потенциально обеспечивает маршрутизированный доступ к локальным сетям.