Доктор Веб исследовал многокомпонентного троянца для Linux

Доктор Веб исследовал многокомпонентного троянца для Linux

Доктор Веб исследовал многокомпонентного троянца для Linux

Вредоносные программы для операционных систем семейства Linux не столь распространены по сравнению с Windows-троянцами. Тем не менее они представляют серьезную угрозу для пользователей. Специалисты «Доктор Веб» исследовали сложного многокомпонентного троянца, способного заражать устройства под управлением Linux с различной аппаратной архитектурой.

Первые атаки с применением троянца, вошедшего в семейство Linux.LuaBot, специалисты «Доктор Веб» фиксировали еще в декабре 2016 года. Все представители семейства написаны на скриптовом языке Lua. Троянец непрерывно эволюционирует с ноября 2016 года, и новые версии Linux.LuaBot появляются с завидной регулярностью. Вредоносная программа Linux.LuaBot представляет собой набор из 31 Lua-сценария и двух дополнительных модулей, каждый из которых выполняет собственную функцию. Троянец способен заражать устройства с архитектурами Intel x86 (и Intel x86_64), MIPS, MIPSEL, Power PC, ARM, SPARC, SH4, M68k – иными словами, не только компьютеры, но и широчайший ассортимент роутеров, телевизионных приставок, сетевых хранилищ, IP-камер и других «умных» девайсов. При этом специалистам «Доктор Веб» не удалось обнаружить в «дикой природе» сборки троянца для архитектуры SPARC: заражающий устройства инфектор троянца умеет определять эту архитектуру, но реально существующих модулей для нее не выявлено.

Все входящие в состав Linux.LuaBot сценарии взаимосвязаны. Троянец генерирует список IP-адресов, которые будет атаковать, а затем пытается соединиться с удаленными устройствами по созданному списку и авторизоваться путем перебора логинов и паролей по словарю. Скрипты, с использованием которых осуществляется взлом сетевых узлов, умеют определять архитектуру атакуемого устройства и, кроме того, имеют специальный механизм для детектирования «ханипотов» (от англ. honeypot, «горшочек с медом») — серверов, играющих роль приманки для злоумышленников. С помощью «ханипотов» специалисты по информационной безопасности изучают методики атак и инструментарий злоумышленников. При этом атаки выполняются как по протоколу Telnet, так и посредством SSH — за работу с каждым из этих протоколов отвечает отдельный Lua-сценарий. Если получить доступ к устройству удалось, вредоносный скрипт устанавливает на него троянца Linux.LuaBot соответствующей архитектуры. В процессе атаки по протоколу Telnet на скомпрометированный узел сначала загружается небольшой модуль, который, запустившись, скачивает самого троянца, при атаке по протоколу SSH троянец загружается сразу.

Один из модулей Linux.LuaBot представляет собой полноценный веб-сервер, работающий по протоколу HTTP. Сервер может сохранить на инфицированном устройстве и выполнить приложение, передать по запросу файл из своей директории и сообщать информацию о версии троянца. Отметим, что в майской версии Linux.LuaBot злоумышленники убрали функцию передачи данных о зараженном устройстве.

Linux.LuaBot общается с управляющим сервером по протоколу HTTP, при этом вся передаваемая информация шифруется. Для поиска свежих конфигурационных файлов и модулей используется сеть P2P на основе протокола Bittorent DHT, такого же, который задействован в обычных торрент-сетях. За эту функцию отвечает еще один скрипт. При этом принимаемые и передаваемые сообщения проверяются на подлинность с помощью цифровой подписи. Если P2P-сеть недоступна, отдельный сценарий выполняет обновление Linux.LuaBot с помощью других зараженных узлов, закачивая свои файлы на скомпрометированные устройства по специальному запросу. Этот сценарий присутствовал только в ранних версиях троянца.

Опасность Linux.LuaBot для владельцев Linux-устройств заключается в том, что этот троянец фактически является бэкдором, то есть способен выполнять поступающие от злоумышленников команды. Кроме того, ранние версии этой вредоносной программы запускали на скомпрометированном устройстве прокси-сервер, который злоумышленники использовали для анонимизации своих действий в Интернете.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Подготовка зарубежных кадров поможет продвижению российских ИБ продуктов

На SOC Forum участники дискуссии о перспективах экспорта российских ИБ-продуктов и сервисов пришли к выводу: одним из ключевых факторов успеха за рубежом станет подготовка иностранных специалистов. О том, что российский рынок ограничен по объёму, говорится уже давно.

Поэтому для отечественных компаний выход на международные площадки становится необходимым условием дальнейшего развития.

Как напомнил директор по клиентской работе «Российского экспортного центра» Алексей Мудраков во время дискуссии «Конкуренция на уровне идей: экспортный потенциал российских технологических решений», внутренний ИТ-рынок России составляет лишь около 0,5% мирового. Доля российского рынка информационной безопасности немного выше, но даже по оптимистичным оценкам не превышает 2% от глобального объёма.

С другой стороны, модератор обсуждения, исполнительный директор Института экономики роста им. П. А. Столыпина Алексей Свириденко отметил, что глобальный спрос на ИТ- и ИБ-решения смещается в сторону стран «глобального юга».

По прогнозам зарубежных аналитических агентств, уже к началу 2030-х годов продажи ИТ- и ИБ-решений в Латинской Америке, Южной и Юго-Восточной Азии превысят объёмы, формируемые традиционными рынками Северной Америки и Европы.

Эти регионы пока недостаточно освоены крупными игроками, и российские компании уже пытаются там закрепиться — нередко вполне успешно. Кроме того, ИТ и ИБ становятся важной частью так называемой «мягкой силы».

Директор Департамента международной информационной безопасности МИД России, специальный представитель президента по вопросам международного сотрудничества в сфере ИБ Артур Люкманов подчеркнул, что одной из важнейших задач является подготовка зарубежных кадров.

Эта работа, по его словам, не должна ограничиваться университетами. Компании также должны открывать учебные центры — как в России, так и в целевых странах присутствия. Подготовленные специалисты впоследствии становятся проводниками российских технологий и подходов.

Управляющий директор по развитию экспорта фонда «Сайберус» Сергей Войнов сравнил развитие специалистов с формированием целой экосистемы. Именно сочетание гибкости и способности выстраивать такие экосистемы, по его мнению, отличает российскую отрасль ИБ от американской, израильской и китайской.

Директор международных продаж ГК «Солар» Артём Падейский также отметил, что подготовка зарубежных специалистов является критически важной задачей. По его словам, необходимо формировать сообщества таких экспертов: в дальнейшем они становятся проводниками российских технологий на своих национальных рынках. Опыт показал, что дистанционный формат работы не обеспечивает необходимых результатов.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru