Троян Linux.PNScan взламывает роутеры и устанавливает бэкдоры

Троян Linux.PNScan взламывает роутеры и устанавливает бэкдоры

Троян Linux.PNScan взламывает роутеры и устанавливает бэкдоры

Появившийся более года назад троян под Linux в очередной раз нацелен на маршрутизаторы и пытается установить бэкдоры. Linux.PNScan, вредонос, подробно изученный в прошлом году, атаковал устройства с архитектурами ARM, MIPS и PowerPC.

Теперь исследователи в области безопасности из Malware Must Die! говорят, что этот ELF-червь поражает системы x86 Linux. В прошлом году исследователи Doctor Web предположили, что троян устанавливался на маршрутизаторы, используя уязвимость ShellShock. Троян перебирает пароли брутфорсом и устанавливает на маршрутизаторы скрипт, который загружает бэкдор.

Вредонос, которого исследовали эксперты Malware Must Die! является вариацией оригинального трояна Linux.PNScan.1 и называется Linux.PNScan.2. В отличие от Linux.PNScan.1, который пытается взломать комбинации логина с помощью специального словаря, Linux.PNScan.2 нацелен на конкретные IP-адреса и пытается подключиться к ним через SSH , используя одну из следующих комбинаций: root,root; admin,admin; или ubnt,ubnt.

В процессе анализа исследователи Malware Must Die! обнаружили, что троян был сделан с использованием Toolchains и имеет совместимость с GCC(GNU) 4.1.x. Исследователи также обнаружили, что авторы вредоноса используют кросс параметр компилятора для i686 и включенную конфигурацию SSL.

После того, как зловред попал на устройство, он делится на 4 процесса (в дополнение к основному), создавая файлы на устройстве, прослушивая 2 TCP-порта. Червь также способен брутфорсить логины.

Отправляя запросы на twitter.com, Linux.PNScan может скрыть свой вредоносный трафик и мешают анализу. Сформированный вредоносный трафик невозможно отличить от легитимного.

По словам исследователей, вредонос активен уже в течение последних шести месяцев. Исследователи предполагают, что злоумышленники могут быть из России. 

Несмотря на то, вредонос не новый, важно повысить осведомленность об этой угрозе, говорят исследователи в области безопасности. Эксперты также отмечают, что зараженные маршрутизаторы имеют следы конкретных запущенных процессов.

Google построила в Android клетку для ИИ-агентов, но пока она пустует

В Android появился системный механизм, который позволит ИИ-агентам выполнять действия внутри приложений без имитации нажатий по экрану. Доступ защищён специальным разрешением, однако на обычном смартфоне найти соответствующий переключатель пока не получится: технология AppFunctions остаётся экспериментальной, а её интеграция с Gemini доступна лишь избранным тестировщикам.

AppFunctions позволяет разработчикам превратить отдельные возможности приложений в инструменты для агентов.

Например, вместо открытия календаря и блуждания по интерфейсу Gemini сможет напрямую вызвать функцию создания события. Аналогичным образом агент сможет составить плейлист, добавить товары в список покупок или объединить действия нескольких программ.

По смыслу это мобильный аналог MCP: приложение заранее описывает доступные операции, Android регистрирует их, а аутентифицированный агент выбирает и запускает нужную функцию по запросу пользователя. Интерфейс приложения может меняться сколько угодно.


Чтобы обнаруживать и выполнять такие функции, вызывающая программа должна получить системное разрешение EXECUTE_APP_FUNCTIONS. Оно не отображается в обычном меню настроек и предназначено для одобренных агентов и ассистентов. Сам механизм доступен начиная с Android 16.

Но захват смартфонов роботами откладывается. Google прямо помечает AppFunctions как экспериментальную, предупреждает о возможных изменениях API и пока допускает к полному циклу только ограниченное число приложений и системных агентов. Разработчики могут подготовить и протестировать функции, но подключение к Gemini остаётся закрытым и требует участия в программе раннего доступа.

В перспективе такая архитектура должна быть надёжнее агентов, которые управляют телефоном через ADB и просто тыкают по экрану. Заодно Google заранее ограничивает круг программ, способных распоряжаться чужими функциями.

RSS: Новости на портале Anti-Malware.ru