Новый троянец для Linux обзавелся обширным арсеналом

Новый троянец для Linux обзавелся обширным арсеналом

Специалисты компании «Доктор Веб»  предупреждают об обнаружении новой вредоносной программы для Linux — Linux.Hanthie. По итогам проведенного исследования удалось выяснить, что этот троянец (также известен как Hand of Thief) обладает не только широким вредоносным функционалом, но и способен скрывать от антивирусов свое присутствие в системе.

На сегодняшний день эта вредоносная программа пользуется большой популярностью на подпольных хакерских форумах, где злоумышленники активно продают ее. Linux.Hanthie позиционируется как бот класса FormGrabber и BackDoor для ОС Linux, имеющий механизмы антиобнаружения и скрытую автозагрузку, не требующий привилегий администратора, использующий стойкое шифрование для коммуникации с панелью управления (256 бит). Гибкая настройка бота осуществляется через файл конфигурации.

После запуска троянец блокирует доступ к адресам, с которых осуществляется установка обновлений или загрузка антивирусного ПО. В троянце предусмотрены средства противодействия анализу и запуску в изолированных и виртуальных окружениях.

Текущая версия Linux.Hanthie не обладает какими-либо механизмами самокопирования, поэтому разработчики троянца в своих сообщениях на хакерских форумах рекомендуют распространять его с использованием методов социальной инженерии. Троянец может работать в различных дистрибутивах Linux, в том числе Ubuntu, Fedora и Debian, и поддерживает восемь типов десктоп-окружений, например, GNOME и KDE.

После запуска вредоносной программы инсталлятор троянца проверяет собственное наличие в системе, а также определяет, не запущена ли на компьютере виртуальная машина. Затем Linux.Hanthie устанавливается в системе путем создания файла автозапуска и размещения собственной копии в одной из папок на диске. В папке для хранения временных файлов троянец создает исполняемую библиотеку, которую пытается встроить во все запущенные процессы. Если вредоносной программе не удается встроить собственную библиотеку в какой-либо процесс, Linux.Hanthie запускает из временной папки новый исполняемый файл, отвечающий только за взаимодействие с управляющим сервером, а исходную копию удаляет.

Троянец имеет в своем составе несколько функциональных модулей: в одном из них, представленном в виде библиотеки, реализован основной вредоносный функционал. С использованием данного модуля троянец встраивает граббер в популярные браузеры Mozilla Firefox, Google Chrome, Opera, а также действующие только под Linux браузеры Chromium и Ice Weasel. Граббер позволяет перехватывать HTTP и HTTPS-сессии и отправлять злоумышленникам данные из заполняемых пользователям экранных форм. Также данная библиотека реализует функции бэкдора, при этом трафик при обмене данными с управляющим сервером шифруется.

Троянец способен выполнить несколько команд, в частности, по команде socks он запускает на инфицированной машине прокси-сервер, по команде bind запускает скрипт для прослушивания порта, по команде bc подключается к удаленному серверу, по команде update загружает и устанавливает обновленную версию троянца, а по команде rm — самоудаляется.

Еще один модуль позволяет троянцу реализовывать ограниченный функционал без выполнения инжектов.

Иностранные симки больше не помогают обходить блокировки в России

Иностранные сим-карты перестали быть удобным билетом к интернет-ресурсам, доступ к которым в России ограничен. Раньше схема выглядела заманчиво для тех, кто готов был платить: человек находится в России, пользуется иностранной симкой, а трафик уходит через инфраструктуру зарубежного оператора.

По данным «Известий», пользователи таких карт больше не могут беспрепятственно заходить на заблокированные в РФ сервисы через роуминговый интернет.

Российские сети в таком сценарии фактически работали как транзит. Но теперь, как пояснили в Минцифры, к роуминговому интернет-трафику иностранных абонентов применяется общий режим фильтрации, действующий в РФ. То есть страна выпуска сим-карты больше не играет роль волшебного пропуска.

При этом речь не о полном отключении интернета. Доступ к обычным ресурсам сохраняется. Также, по словам пользователей, всё ещё работают некоторые сервисы, которые сами ограничили деятельность в России, например Netflix и ряд зарубежных нейросетей. А вот ресурсы, заблокированные за нарушение российского законодательства, через иностранную симку уже не открываются.

По оценкам Mobile Research Group, на руках у россиян может быть около 2 млн иностранных сим-карт, но для постоянного выхода в интернет используются примерно 500 тыс. из них. Популярность таких карт выросла после 2022 года: их покупали для регистрации в ушедших сервисах, работы с зарубежными банками и доступа к отдельным платформам.

Эксперты отмечают, что способ изначально был нишевым и дорогим. Такие сим-карты продолжают продавать на онлайн-площадках: цены стартуют примерно от 600 рублей и доходят до 5,5 тыс. рублей, а стоимость трафика может неприятно удивить. Например, 1 ГБ интернета по некоторым тарифам обходится в 800–1200 рублей.

Технически фильтрация может зависеть от схемы роуминга и маршрута трафика, однако иностранная симка теперь просто дорогой кусок пластика с ограниченным набором преимуществ.

RSS: Новости на портале Anti-Malware.ru