Новый rootkit для Linux подставляет вредоносный код в HTTP-трафик

Новый rootkit для Linux подставляет вредоносный код в HTTP-трафик

На ряде web-серверов обнаружен новый руткит, используемый для скрытной подстановки вредоносных вставок в отдаваемый сервером HTTP-контент. Руткит поражает 64-разрядные Linux-серверы, работающие под управлением Debian Squeeze с ядром 2.6.32-5-amd64.

После активации в ядро системы загружается специальный модуль, скрывающий следы присутствия руткита и осуществляющий подстановку в генерируемый локальным web-сервером HTTP-трафик iframe-блоков с кодом для эксплуатации уязвимостей в клиентских браузерах и установленных в них плагинах.

В отличие от обычно применяемой техники внедрения вредоносного кода в хранимые на сервере html-страницы, руткит позволяет оставить файлы в неизменном виде, осуществляя подстановку на стадии отдачи контента http-сервером. Так как компоненты руткита маскируются и скрываются от средств мониторинга, на первый взгляд вредоносная активность отсутствует. Первая информация о новом рутките была опубликована несколько дней назад в списке рассылки Full Disclosure. Администратор одной из поражённых систем привёл первичный разбор странной активности на своём сервере, из-за которой во вне данные уходили с подстановкой вредоносного iframe, но локально следов подстановки вредоносного кода не наблюдалось, в том числе используемый для отдачи контента nginx при проверке через strace отдавал в сетевой сокет корректные данные, пишет opennet.ru.

В дальнейшем один из исследователей безопасности, получивший доступ к поражённой системе, проанализировал руткит иопубликовал подробный отчёт о методах его работы. Наиболее важным выводом является то, что выявленный руткит является новой разработкой, не основанной ни на одном из ранее доступных руткитов или инструментов для их создания. При этом реализация и качество исполнения руткита свидетельствует о том, что он создавался не для проведения целевых атак, а как начальная попытка создания ещё одного средства для распространения вредоносного ПО.

После загрузки руткита он осуществляет перехват управления некоторых функций ядра Linux (vfs_readdir, vfs_read, filldir64 и filldir), скрывая необходимые для работы руткита файлы на диске. Для скрытия загрузки модуля ядра осуществляется модификация списка активных модулей в соответствующей структуре данных ядра Linux. Перехват управления производится путем перезаписи нескольких байт непосредственно в начале кода перехватываемой функций (добавляется команда jmp rel32 и копируется рассчитанное в стеке смещение). Запуск руткита производится через загрузку модуля ядра Linux. Но так как команда "insmod /lib/modules/2.6.32-5-amd64/kernel/sound/module_init.ko" добавляется в конец файла /etc/rc.local, а в Debian файл /etc/rc.local завершается вызовом exit 0, команда загрузки модуля размещается после вызова exit, т.е. после перезагрузки руткит не активируется.

Подстановка вредоносного кода в трафик осуществляется путем перехвата функции tcp_sendmsg, используемой для построения исходящих TCP-пакетов. Обработчик руткита анализирует передаваемый контент и добавляет после строки с тегом body блок iframe. Для управления руткитом предусмотрен специальный интерфейс, получающий команды от удалённого управляющего сервера. В частности, после обращения руткита к управляющему серверу, тот возвращает блок данных, который следует внедрить в трафик, а также параметры подстановки. Например, поддерживается установка правил для какого именно хоста осуществить подстановку, определяется тип внедрения (JavaScript/iframe).

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

От взлома камеры до письма от киллера: новые схемы почтового шантажа

Эксперты «Лаборатории Касперского» предупреждают: пользователям угрожает новая волна электронных писем от шантажистов. Подобного рода атаки существуют уже не первый год, но злоумышленники постоянно обновляют легенды и придают своим сообщениям больше правдоподобности.

Главная цель остаётся прежней — запугать жертву и выманить деньги. Самый распространённый сценарий — письмо о «взломе» компьютера или телефона.

Шантажисты утверждают, что получили доступ к камере, микрофону, перепискам и даже интимным фотографиям. Чтобы «не выложить всё это в сеть», требуют перевести деньги.

Иногда такие письма даже содержат «советы по кибербезопасности» — например, «меняйте пароли» или «осторожнее со ссылками».

Другая жуткая схема — сообщение якобы от киллера, которому «заказали жертву». В письме говорится, что «если заплатишь больше, чем заказчик, останешься жив». Разумеется, всё это — чистая манипуляция. Задача — вызвать панику и заставить человека заплатить.

Ещё одна популярная легенда — письмо «от полиции». Мошенники представляются сотрудниками вымышленных или реальных правоохранительных органов разных стран и обвиняют адресата в нарушении закона — например, в распространении противоправных видеоматериалов.

Чтобы письмо выглядело убедительно, злоумышленники добавляют поддельные печати, подписи и ссылки на фиктивные статьи закона. Дальше всё просто: от жертвы требуют срочно ответить на письмо, а затем предлагают «урегулировать вопрос» за деньги.

По словам Анны Лазаричевой, старшего спам-аналитика «Лаборатории Касперского», злоумышленники совершенствуют технику:

«Чтобы обойти фильтры, они выносят текст в PDF или DOC-файлы, смешивают буквы из разных алфавитов, вставляют случайные символы и знаки. Письма становятся всё более убедительными — особенно когда в них появляются личные данные пользователя, вероятно взятые из утёкших баз».

Эксперты напоминают: не стоит отвечать на подобные письма и тем более переводить деньги. Настоящие правоохранительные органы не высылают обвинения по электронной почте, а угрозы «выложить компромат» — не более чем психологический приём.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru