OrBit: новый скрытный Linux-бэкдор с необычным угоном потока выполнения

OrBit: новый скрытный Linux-бэкдор с необычным угоном потока выполнения

OrBit: новый скрытный Linux-бэкдор с необычным угоном потока выполнения

Проведенный в Intezer анализ показал, что новый Linux-бэкдор использует не встречавшийся ранее способ перехвата функций для внедрения в легитимные процессы. Подмену подключаемой библиотеки при этом почти невозможно обнаружить.

Зловред с кодовым именем OrBit устанавливается в систему как временный либо постоянный имплант. Стойкость ему придает возможность перехвата ключевых функций; основными задачами новобранца являются кража учетных данных, регистрация tty-команд и обеспечение удаленного доступа к зараженной машине по SSH.

Атака начинается с ELF-файла — дроппера с полезной нагрузкой (libdl.so), которая извлекается и добавляется к библиотекам общего пользования, загружаемым линкером. (Уровень детектирования на VirusTotal в обоих случаях 11/60, по состоянию на 7 июля.)

Вредонос умеет перехватывать функции трех библиотек — libc, libcap и PAM (подключаемый модуль аутентификации). Загрузка вредоносного разделяемого объекта в память при этом может осуществляться двумя способами: через добавление его в конфигурационный файл, используемый загрузчиком, или патчинг самого бинарника.

Для кражи данных вредонос ставит хуки на функции чтения/записи и регистрирует все, что записывается в рамках запущенных процессов, в том числе команды bash и sh. Результаты сохраняются во временных файлах, которые OrBit создает в зараженной системе, притом в гораздо большем количестве, чем аналогичные зловреды.

Перехват функций — хорошо известный прием бесфайловых вредоносных программ, но для подмены разделяемого объекта в памяти они обычно модифицируют переменную окружения LD_PRELOAD. Такую технику используют, например, Linux-бэкдоры HiddenWasp, BPFDoor, Symbiote. Новобранца OrBit отличает от них новаторский способ хукинга — по словам Intezer, почти «непроницаемый» (hermetic), который позволяет зловреду закрепиться в системе и уклоняться от обнаружения, параллельно воруя информацию и открывая SSH-дверь.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Цены на российский софт в 2026 году могут возрасти до 40%

Российские производители программного обеспечения собираются повысить стоимость лицензий и техподдержки в будущем году. Как выяснили журналисты, подорожание таких продуктов и услуг ожидается в пределах от 10 до 40%.

В числе причин представители ИТ-компаний в ответ на запрос «Ъ» назвали рост ключевой ставки Банка России, объема страховых взносов, расходов на персонал, возможную отмену освобождения от НДС, а также уже заложенные в бюджет инвестиции в разработку новых решений и поддержку существующих.

В «Группе Астра» готовятся повысить расценки до 40%, в «Базальт СПО» — в пределах 10-40%, в BPMSoft — на 25%.

В 2023 году на конференции ЦИПР крупные российские разработчики, в том числе «Базальт СПО» и «Лаборатория Касперского», подписали хартию о добровольном ограничении роста цен. Это соглашение обязывает участников не повышать цены на софт более чем на уровень инфляции плюс 15% в год.

По оценкам АНО «Цифровая экономика», доля ИТ в общем объеме ВВП по итогам 2024 года составила 6%. На каждый рубль господдержки отрасль возвращает в бюджет два.

Рост цен на рынке российского софта, по мнению аналитиков, может снизить темпы цифровизации и импортозамещения в стране. В Минцифры журналистам заявили, что отслеживают ситуацию и в случае нужды примут дополнительные меры регулирования.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru