Новый rootkit для Linux подставляет вредоносный код в HTTP-трафик

На ряде web-серверов обнаружен новый руткит, используемый для скрытной подстановки вредоносных вставок в отдаваемый сервером HTTP-контент. Руткит поражает 64-разрядные Linux-серверы, работающие под управлением Debian Squeeze с ядром 2.6.32-5-amd64.

После активации в ядро системы загружается специальный модуль, скрывающий следы присутствия руткита и осуществляющий подстановку в генерируемый локальным web-сервером HTTP-трафик iframe-блоков с кодом для эксплуатации уязвимостей в клиентских браузерах и установленных в них плагинах.

В отличие от обычно применяемой техники внедрения вредоносного кода в хранимые на сервере html-страницы, руткит позволяет оставить файлы в неизменном виде, осуществляя подстановку на стадии отдачи контента http-сервером. Так как компоненты руткита маскируются и скрываются от средств мониторинга, на первый взгляд вредоносная активность отсутствует. Первая информация о новом рутките была опубликована несколько дней назад в списке рассылки Full Disclosure. Администратор одной из поражённых систем привёл первичный разбор странной активности на своём сервере, из-за которой во вне данные уходили с подстановкой вредоносного iframe, но локально следов подстановки вредоносного кода не наблюдалось, в том числе используемый для отдачи контента nginx при проверке через strace отдавал в сетевой сокет корректные данные, пишет opennet.ru.

В дальнейшем один из исследователей безопасности, получивший доступ к поражённой системе, проанализировал руткит иопубликовал подробный отчёт о методах его работы. Наиболее важным выводом является то, что выявленный руткит является новой разработкой, не основанной ни на одном из ранее доступных руткитов или инструментов для их создания. При этом реализация и качество исполнения руткита свидетельствует о том, что он создавался не для проведения целевых атак, а как начальная попытка создания ещё одного средства для распространения вредоносного ПО.

После загрузки руткита он осуществляет перехват управления некоторых функций ядра Linux (vfs_readdir, vfs_read, filldir64 и filldir), скрывая необходимые для работы руткита файлы на диске. Для скрытия загрузки модуля ядра осуществляется модификация списка активных модулей в соответствующей структуре данных ядра Linux. Перехват управления производится путем перезаписи нескольких байт непосредственно в начале кода перехватываемой функций (добавляется команда jmp rel32 и копируется рассчитанное в стеке смещение). Запуск руткита производится через загрузку модуля ядра Linux. Но так как команда "insmod /lib/modules/2.6.32-5-amd64/kernel/sound/module_init.ko" добавляется в конец файла /etc/rc.local, а в Debian файл /etc/rc.local завершается вызовом exit 0, команда загрузки модуля размещается после вызова exit, т.е. после перезагрузки руткит не активируется.

Подстановка вредоносного кода в трафик осуществляется путем перехвата функции tcp_sendmsg, используемой для построения исходящих TCP-пакетов. Обработчик руткита анализирует передаваемый контент и добавляет после строки с тегом body блок iframe. Для управления руткитом предусмотрен специальный интерфейс, получающий команды от удалённого управляющего сервера. В частности, после обращения руткита к управляющему серверу, тот возвращает блок данных, который следует внедрить в трафик, а также параметры подстановки. Например, поддерживается установка правил для какого именно хоста осуществить подстановку, определяется тип внедрения (JavaScript/iframe).

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

ФСТЭК России выдал сертификат комплексу защиты от DDoS-атак Периметр

«Периметр» — решение по защите от атак типа «отказ в обслуживании» (Anti-DDoS), поставляемое как автономный комплекс и сертифицированное ФСТЭК России. В отличие от решений, перенаправляющих трафик для очистки на внешние площадки, «Периметр» осуществляет фильтрацию непосредственно на сети передачи данных заказчика. Такой подход не только гарантирует сохранность клиентских данных, но и исключает перегрузку всей промежуточной сетевой инфраструктуры при перенаправлении трафика.

«Периметр» — сертифицированное по уровню 4 РД НДВ средство защиты конфиденциальной информации, которое помогает государственным и корпоративным заказчикам выполнять требования ряда российских нормативно-правовых актов:

  • Совместного приказа ФСТЭК России и ФСБ России №489/416 «Об утверждении Требований о защите информации, содержащейся в информационных системах общего пользования» за счёт использования сертифицированного средства фильтрации и блокирования сетевого трафика;
  • Приказов ФСТЭК № 17 от 11.02.2013 и №21 от 18.02.2013, регламентирующих защиту государственных информационных систем и безопасность персональных данных;
  • Федерального закона №187-ФЗ «О безопасности критической информационной структуры Российской Федерации» и подзаконных актов: приказа ФСТЭК №239 от 25.12.2017, в части предотвращения вторжений (компьютерных атак) и обеспечения доступности значимых объектов, приказа ФСБ № 196 от 06.05.2019, в части выявления и реагирования на компьютерные инциденты, работы с артефактами атаки и отсутствием недекларированных возможностей в используемом программном обеспечении;
  • Приказа ФСТЭК №31 от 14.03.2014 в части обеспечения мер по защите АСУТП на критически важных объектах.

Сертифицированное решение необходимо компаниям финансового сектора для выполнения мер, определённых в Национальном стандарте Российской Федерации ГОСТ Р 57580.1-2017 «Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Базовый состав организационных и технических мер», а также для обеспечения доступности информационных ресурсов платежных систем по требованиям Федерального закона №161-ФЗ от 27.06.2011 «О национальной платёжной системе» и Постановления правительства РФ № 584 от 13.06.2012 «Положение о защите информации в платежной системе».

Кроме того, возможности «Периметра» соответствуют методическим рекомендациям по созданию ведомственных и корпоративных центров государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru