Linux-троян Skidmap обрел новый руткит ядра для сокрытия майнинга

Linux-троян Skidmap обрел новый руткит ядра для сокрытия майнинга

Linux-троян Skidmap обрел новый руткит ядра для сокрытия майнинга

В ходе анализа семпла трояна Skidmap, угодившего в Redis-ловушку «Доктор Веб», была обнаружена новая модификация руткита режима ядра, используемого для сокрытия процесса добычи криптовалюты. Схема атаки усложнилась, еще больше затруднив реагирование.

Приманка, работающая под управлением Linux, была создана в связи с участившимися случаями взлома серверов Redis с целью установки майнеров. Такие мишени привлекательны для злоумышленников тем, что обычно плохо защищены, а уязвимости в СУБД Redis объявляются с завидной регулярностью.

Зайдя на сервер через намеренно распахнутую дверь, операторы Skidmap добавили в планировщик cron-задачу на запуск вредоносного скрипта-загрузчика с интервалом в 10 минут. В результате отработки сценария в системе объявляется дроппер (Linux.MulDrop.142/143), который уточняет версию ядра ОС, отключает защиту SELinux и распаковывает полезную нагрузку — бэкдоры, руткит и майнер.

Встроенные исполняемые файлы ориентированы на ходовые дистрибутивы Linux разных версий, поэтому размер дроппера сильно раздут. В осевшем на ловушке образце аналитики насчитали около 60 экзешников.

Так, написанный на C руткит (Linux.Rootkit.400) был заточен под RHEL, Debian и EulerOS. Вредонос осуществляет перехват ряда функций ядра с целью подмены ответов на диагностические команды админа (загрузка CPU, сетевая активность на портах, перечисление файлов в папках и т. п.).

Зловред также отслеживает загрузку модулей ядра и блокирует запуск компонентов с функциями антируткита. Все эти действия призваны скрыть активность майнера (в данном случае XMRig), которого в итоге могут выдать только высокое энергопотребление и перегрев — влияние на быстродействие машины-жертвы криптоджекеры научились регулировать.

Загруженные бэкдоры отслеживают входы по SSH с целью кражи паролей и создают мастер-ключ для всех аккаунтов в системе. Расширить возможности по удаленному управлению помогает троян Linux.BackDoor.RCTL.2, создающий зашифрованный канал для C2-связи.

Депутаты предлагают тотальный запрет на использование ИИ в агитации

19 февраля депутаты практически всех фракций Госдумы внесли законопроект, который фактически запрещает использование образов людей в предвыборной агитации — в том числе умерших, вымышленных или созданных с помощью информационных технологий.

О появлении инициативы сообщают «Ведомости». Законопроект оформлен в виде поправок к действующим нормам, регулирующим избирательный процесс.

Исключение сделано только для самих кандидатов: допускается использование их образов, в том числе сгенерированных. При этом отдельно прописан запрет на оплату создания агитационных материалов вне средств избирательного фонда.

«Судебная практика уже пошла по этому пути, но норма в законе оставляла некоторый простор для креатива. Теперь же дрейф агитации в сторону скучных текстовых “кирпичей” усилится. Можно прогнозировать, что такой “сухой закон” для креатива породит не исчезновение ярких листовок, а их переход в серую зону», — прокомментировал инициативу юрист Олег Захаров.

Политтехнолог Пётр Быстров считает, что законопроект развивает позицию Верховного суда. По его мнению, значительная часть агитационных материалов, созданных с использованием нейросетевых инструментов, может сместиться в «серую» зону и распространяться до официального старта избирательной кампании.

Ещё одним «цифровым» нововведением станет расширение применения электронных протоколов. Если раньше они использовались только на уровне избирательных участков, то теперь их смогут применять также территориальные и окружные комиссии.

В целом использование дипфейков в избирательных кампаниях остаётся глобальной проблемой. Первые массовые случаи их применения для дезинформации и дискредитации оппонентов фиксировались на выборах в Словакии и Молдавии, а наиболее масштабно такие технологии использовались во время парламентских выборов в Индии.

RSS: Новости на портале Anti-Malware.ru