Новый мультифункциональный Linux-вредонос может майнить криптовалюту

Новый мультифункциональный Linux-вредонос может майнить криптовалюту

Новый мультифункциональный Linux-вредонос может майнить криптовалюту

Вредоносные программы для систем Linux становятся все более изощренными и функциональными — в качестве примера можно привести новый троян, обнаруженный специалистами антивирусной компании «Доктор Веб». В отличии от других вредоносов под Linux, получивший имя Linux.BtcMine.174 зловред обладает множеством вредоносных возможностей, среди которых есть криптомайнинг.

Троян представляет собой огромный шелл-скрипт, состоящий из более чем 1000 строк кода. Первым делом этот скрипт находит на диске папку, к которой может получить доступ на запись. После этого он копирует себя в эту папку, а затем загружает дополнительные модули.

После окончательного укоренения в системе вредоносная программа попытается использовать уязвимости эскалации привилегий — CVE-2016-5195 (Dirty COW) и CVE-2013-2094, чтобы получить root-права и, следовательно, полный контроль над системой.

Далее троян регистрирует себя в качестве локального «демона» и даже скачивает для этого утилиту nohup, если ее на момент заражения нет в системе.

Затем уже зловред начинает выполнять вредоносные действия, для которых он и был разработан — криптовалютный майнинг на зараженном устройстве. Для начала Linux.BtcMine.174 ищет и завершает процессы других майнеров-оппонентов. После этого на компьютер жертвы загружается модуль для добычи цифровой валюты Monero.

Примечательно, что вредонос также загружает в систему троян Bill.Gates — известное семейство злонамеренных программ, ориентированное на DDoS-операции. Также Bill.Gates обладает возможностями бэкдора.

Но и это еще не все. Linux.BtcMine.174 пытается отыскать в системе процессы известных ему антивирусных программ, если ему это удается, выполняется завершение этих процессов. По словам аналитиков «Доктор Веб», зловред также копирует себя в etc/rc.local, /etc/rc.d/... и /etc/cron.hourly для обеспечения автозагрузки.

Эксперты опубликовали на GitHub SHA1-хеши компонентов трояна, а также подробный анализ вредоносной программы.

Ростелеком опроверг использование белых списков для домашнего интернета

Информация об ограничении доступа в интернет для пользователей фиксированного доступа в «Ростелекоме» назвали не соответствующей действительности. В компании подчеркнули, что подобные меры могут быть оправданы только в отношении мобильного интернета.

С таким заявлением оператор выступил в комментарии для «Радио РБК». Как отметили в пресс-службе «Ростелекома», такие ограничения вводятся лишь при угрозе атак дронов.

Это объясняется тем, что мобильный интернет может использоваться для наведения боевых беспилотников на потенциальные цели. Введение аналогичных ограничений для фиксированного доступа в сеть в компании назвали лишённым смысла.

Телеграм-канал «Код Дурова», который ранее распространил информацию о том, что в Ростове некоторые пользователи фиксированного интернета столкнулись с доступом только к ресурсам из «белого списка», позже также признал, что у абонентов крупных провайдеров такой проблемы нет. По данным авторов канала, о сбоях уже несколько дней сообщают пользователи соцсетей, однако в основном речь идёт о клиентах небольших операторов.

«Источник «Кода Дурова» на телеком-рынке подтверждает, что провайдеры могут быть не причастны к ситуации, когда у пользователей открываются только российские сайты, так как ограничения могут вводиться на ТСПУ, контролируемых Роскомнадзором», — именно такую версию канал считает наиболее вероятной причиной ограничений доступа.

Как уточнили в самом операторе, о котором шла речь в новости об ограничениях, в тот момент он находился под DDoS-атакой. При этом передача данных продолжалась по каналам, которые эта атака не затронула.

RSS: Новости на портале Anti-Malware.ru