Linux-троян Skidmap обрел новый руткит ядра для сокрытия майнинга

Linux-троян Skidmap обрел новый руткит ядра для сокрытия майнинга

Linux-троян Skidmap обрел новый руткит ядра для сокрытия майнинга

В ходе анализа семпла трояна Skidmap, угодившего в Redis-ловушку «Доктор Веб», была обнаружена новая модификация руткита режима ядра, используемого для сокрытия процесса добычи криптовалюты. Схема атаки усложнилась, еще больше затруднив реагирование.

Приманка, работающая под управлением Linux, была создана в связи с участившимися случаями взлома серверов Redis с целью установки майнеров. Такие мишени привлекательны для злоумышленников тем, что обычно плохо защищены, а уязвимости в СУБД Redis объявляются с завидной регулярностью.

Зайдя на сервер через намеренно распахнутую дверь, операторы Skidmap добавили в планировщик cron-задачу на запуск вредоносного скрипта-загрузчика с интервалом в 10 минут. В результате отработки сценария в системе объявляется дроппер (Linux.MulDrop.142/143), который уточняет версию ядра ОС, отключает защиту SELinux и распаковывает полезную нагрузку — бэкдоры, руткит и майнер.

Встроенные исполняемые файлы ориентированы на ходовые дистрибутивы Linux разных версий, поэтому размер дроппера сильно раздут. В осевшем на ловушке образце аналитики насчитали около 60 экзешников.

Так, написанный на C руткит (Linux.Rootkit.400) был заточен под RHEL, Debian и EulerOS. Вредонос осуществляет перехват ряда функций ядра с целью подмены ответов на диагностические команды админа (загрузка CPU, сетевая активность на портах, перечисление файлов в папках и т. п.).

Зловред также отслеживает загрузку модулей ядра и блокирует запуск компонентов с функциями антируткита. Все эти действия призваны скрыть активность майнера (в данном случае XMRig), которого в итоге могут выдать только высокое энергопотребление и перегрев — влияние на быстродействие машины-жертвы криптоджекеры научились регулировать.

Загруженные бэкдоры отслеживают входы по SSH с целью кражи паролей и создают мастер-ключ для всех аккаунтов в системе. Расширить возможности по удаленному управлению помогает троян Linux.BackDoor.RCTL.2, создающий зашифрованный канал для C2-связи.

Минюст предложил криминализировать нелегальный майнинг

Минюст разместил на портале проектов нормативных актов законопроект, предусматривающий введение уголовной ответственности за нелегальный майнинг криптовалюты, а также за незаконную деятельность операторов майнинговой инфраструктуры.

Документ опубликован для общественного обсуждения и содержит поправки в Уголовный и Уголовно-процессуальный кодексы РФ.

Согласно проекту, в Уголовный кодекс предлагается добавить часть 6 в статью 171. В ней преступлением признаётся «осуществление майнинга цифровой валюты лицом, не включённым в реестр лиц, осуществляющих майнинг цифровой валюты, если такое включение является обязательным, либо оказание услуг оператора майнинговой инфраструктуры без включения в реестр операторов майнинговой инфраструктуры — при условии, что эти деяния причинили крупный ущерб гражданам, организациям или государству либо были сопряжены с извлечением дохода в крупном размере».

За такие действия предлагается наказывать штрафом до 1,5 млн рублей либо исправительными работами сроком до двух лет. При наличии отягчающих обстоятельств — крупного ущерба, значительного незаконного дохода или совершения преступления в составе организованной группы — штраф может увеличиться до 2,5 млн рублей. Также предусмотрены принудительные работы на срок до пяти лет или лишение свободы на тот же срок.

Отдельно отмечается проблема нелегального майнинга с использованием чужих устройств, когда добыча криптовалюты ведётся с помощью внедрённых на компьютеры пользователей вредоносных программ. В последние годы, как отмечают специалисты, майнинговые ботнеты начали создавать и на базе устройств «умного дома», объединяя их в распределённые сети.

RSS: Новости на портале Anti-Malware.ru