Исследователи компании Trend Micro предупреждают о появлении руткита под Linux, распространяющийся через ручные установки и нацеленный на платформы Intel и ARM. Этот руткит предоставляет злоумышленникам полный контроль над зараженными устройствами.
Именуемый Umbreon, вредонос получил свое имя от одного из покемонов, который известен тем, что скрывается в темноте. Эксперты говорят, что эта характеристика вполне подходит данному руткиту. По словам Trend Micro, развитие этой вредоносной программы началось в начале 2015 года, хотя ее автор действует еще с 2013.
Руткит работает Umbreon работает в различных режимах: в режиме пользователя (кольцо 3), в режиме ядра (кольцо 0), гипервизор (кольцо -1), в режиме системного управления (кольцо -2). По мнению исследователей, чем ниже уровень, на котором работает руткит, тем сложнее его обнаружить и обезвредить.
«Несмотря на то, что в режиме пользователя (кольцо 3) руткит не устанавливает объекты ядра, из этого режима вполне возможно шпионить за пользователем и влиять на то, что происходит в операционной системе» - старший научный исследователь Trend Micro Фернандо Мерсез (Fernando Mercês).
Umbreon был успешно протестирован на трех различных платформах: x86, x86-64 и ARM (Raspberry Pi), результаты показали, что зловред портативный. Кроме того, как отмечает исследователь, написан руткит на чистом C и имеет некоторые дополнительные компоненты, написанные на Python и Bash.
Во время установки вредонос создает пользователя Linux со специальным GID (идентификатор группы), обеспечивая доступ к зараженной системе. Злоумышленник может получить доступ к учетной записи с помощью подключаемых модулей аутентификации, включая SSH. Созданный Umbreon пользователь не отображается в /etc/passwd по причине того, что функции libc перехватываются вредоносом.
Umbreon также включает в себя бэкдор под названием Espeon, тоже написанный на C. Он устанавливает связь со злоумышленником, минуя брандмауэры. Руткит может замаскировать себя с помощью утилиты Linux Strace. Таким образом ему удается обойти инструменты анализа трафика. Эксперт утверждает, что операция по удалению этого руткита может представлять некоторую сложность и привести систему в нерабочее состояние.
В нескольких регионах России пользователи столкнулись со сбоем в работе интернета. На проблемы пожаловались жители Санкт-Петербурга, Нижегородской, Ростовской и Тюменской областей, сообщает Telegram-канал Baza.
По словам пользователей, соединение вроде бы есть, но толку от него немного: многие российские сайты не загружаются, приложения и онлайн-сервисы не работают либо открываются с ошибками. В итоге интернет формально на месте, а воспользоваться им — уже квест со звёздочкой.
Масштаб сбоя пока неясен. Неизвестно и то, связаны ли жалобы из разных регионов с одной технической проблемой или одновременно подвели несколько операторов и сервисов.
Официальных комментариев о причинах неполадок и сроках восстановления работы сети на момент публикации не поступало. Пользователям остаётся обновлять страницы, перезапускать приложения и наблюдать за цифровой версией закрытой двери: ручка есть, а войти нельзя.
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.
