Аналитики исследовали троянец Linux.Mirai используемый для DDoS-атак

Аналитики исследовали троянец Linux.Mirai используемый для DDoS-атак

Аналитики исследовали троянец Linux.Mirai используемый для DDoS-атак

Более ранние модификации этой вредоносной программы уже были изучены, поэтому в обновленной версии Linux.Mirai специалисты смогли найти признаки предыдущих версий и даже характерные черты троянцев других семейств.

Первая версия вредоносной программы для Linux, которая впоследствии получила название Linux.Mirai, появилась еще в мае 2016 года и была добавлена в вирусные базы Dr.Web под именем Linux.DDoS.87. Этот троянец, способный работать на устройствах с архитектурой х86, ARM, MIPS, SPARC, SH-4 и M68K, предназначен для организации атак на отказ в обслуживании, то есть DDoS-атак.

Linux.DDoS.87 содержит в своем коде ряд ошибок, которые были устранены вирусописателями в последующих версиях. Этот троянец имеет определенное сходство с вредоносными программами семейства Linux.BackDoor.Fgt, об одном из представителей которого мы уже писали в ноябре 2014 года. После запуска на зараженном устройстве Linux.DDoS.87 ищет в памяти процессы других троянских программ и прекращает их выполнение. Чтобы избежать случайной остановки собственного процесса, троянец создает в своей папке файл с именем .shinigami и периодически проверяет его наличие. Затем Linux.DDoS.87 пытается установить соединение со своим управляющим сервером для получения дальнейших инструкций. На сервер отправляется идентификатор, определяющий архитектуру инфицированного компьютера, и сведения о MAC-адресе сетевой карты, пишет news.drweb.ru.

По команде злоумышленников Linux.DDoS.87 способен выполнять следующие виды DDoS-атак:

  • UDP flood;
  • UDP flood over GRE;
  • DNS flood;
  • TCP flood (несколько разновидностей);
  • HTTP flood.

Максимальный срок непрерывной работы Linux.DDoS.87 на инфицированной машине составляет одну неделю, по истечении которой троянец завершает собственный процесс.

В начале августа 2016 года вирусные аналитики компании «Доктор Веб» обнаружили новую версию этого опасного троянца, получившую наименование Linux.DDoS.89. Эта вредоносная программа имеет множество общих черт со своей предшественницей, однако прослеживаются и характерные отличия от Linux.DDoS.87. Например, в обновленной версии изменился порядок действий при запуске троянца. Механизм защиты от выгрузки собственного процесса также претерпел изменения: теперь вредоносная программа не пытается определить наличие специального файла в собственной папке, а выполняет проверку на основе идентификатора процесса (PID). Среди отсылаемой Linux.DDoS.89 на управляющий сервер информации отсутствует МАС-адрес сетевого адаптера. Кроме того, из списка поддерживаемых типов атак исчез HTTP flood. В то же время формат получаемых от злоумышленников команд остался прежним. Кроме того, в Linux.DDoS.89 появился новый компонент — telnet-сканнер, который ранее использовался во всех версиях Linux.BackDoor.Fgt. Этот сканер предназначен для поиска в сети уязвимых устройств и несанкционированного подключения к ним по протоколу telnet.

В конце августа – начале сентября была обнаружена еще одна обновленная версия этого троянца, получившая название Linux.Mirai. В некоторых образцах вредоносной программы появилась функция самоудаления. Троянец научился отключать предотвращающий зависание операционной системы сторожевой таймер watchdog (чтобы исключить перезагрузку устройства), а в перечень выполняемых типов атак вернулся HTTP flood. Тем не менее, Linux.Mirai во многом похож на своих предшественников. Для сравнения на иллюстрации ниже показан фрагмент кода Linux.DDoS.87 (слева) и Linux.Mirai (справа).

ВЭБ.РФ покажет на ЦИПР-2026 разработки в кибербезопасности и фотонике

ВЭБ.РФ представит на конференции ЦИПР-2026 в Нижнем Новгороде разработки в нескольких технологических направлениях. В экспозицию войдут проекты, связанные с кибербезопасностью, антидроновыми системами, фотоникой, телекоммуникациями, квантовыми и лазерными технологиями.

Павильон ВЭБ.РФ объединит разработки более чем десяти организаций и институтов развития группы. Среди участников заявлены Сколтех, Фонд «Сколково», Sk Capital, РФРИТ, ФРП и Корпорация МСП.

В зоне кибербезопасности покажут решения для защиты цифровой и физической инфраструктуры. Также отдельное внимание уделят проектам, связанным с развитием отрасли и консолидацией компаний в сфере кибербезопасности.

Сколтех представит разработки в области фотоники, телекоммуникаций и квантовых технологий. Среди них — решения для высокоскоростной передачи данных, устойчивой связи, мониторинга и навигации.

В частности, посетителям покажут систему контроля космических аппаратов и их температуры, а также прототип для создания высокоскоростных приёмопередатчиков для магистральных линий связи.

Отдельная часть экспозиции будет посвящена лазерным технологиям. Такие решения применяются в промышленности, телекоммуникациях, медицине и системах безопасности.

В направлении антидроновых технологий представят подходы к защите критической инфраструктуры от беспилотных угроз — от обнаружения и мониторинга до комплексной защиты объектов разного масштаба.

XI конференция ЦИПР пройдёт с 18 по 20 мая на территории Нижегородской ярмарки. ВЭБ.РФ в этом году впервые выступит генеральным партнёром мероприятия. Павильон организации также станет площадкой для деловой программы и обсуждения технологических проектов с участием государства, бизнеса и стартапов.

RSS: Новости на портале Anti-Malware.ru