FontOnLake: убойный коктейль из бэкдора с руткитом для Linux

FontOnLake: убойный коктейль из бэкдора с руткитом для Linux

FontOnLake: убойный коктейль из бэкдора с руткитом для Linux

Эксперты ESET предупреждают о растущей угрозе со стороны модульных Linux-зловредов, объединенных в семейство с кодовым именем FontOnLake. Набор вредоносных инструментов, включающий бэкдор и руткит режима ядра, находится в стадии активной разработки; создатели часто его апгрейдят, добавляя новые функции.

Судя по датам загрузки образцов FontOnLake на VirusTotal, этот профессионально исполненный тулкит впервые пустили в ход в мае этого года. Местоположение авторов находок и прописка C2-серверов вредоноса говорят о том, что круг интересов злоумышленников пока ограничен Юго-Восточной Азией.

Операторы FontOnLake (в Avast и Lacework Labs его идентифицируют как HCRootkit) прилагают все усилия, чтобы скрыть вредоносную активность. Атаки проводятся точечно; для загрузки основных модулей используются модификации стандартных утилит Linux. Каждой версии тулкита назначается свой командный сервер, в случае обнаружения его быстро заменяют; выбор портов для подключения к С2 необычен.

Выявленные компоненты FontOnLake исследователи разделили на три группы:

  • троянизированные приложения — легитимные бинарные коды, адаптированные под загрузку основных модулей зловреда, сбор данных и выполнение других вредоносных действий;
  • бэкдоры — написанные на C++ компоненты режима пользователя, обеспечивающие связь с оператором; могут также создавать, модифицировать и удалять файлы, работать как прокси, выполнять шелл-команды и Python-скрипты;
  • руткиты — основанные на opensource-проекте Suterusu компоненты режима ядра, обеспечивающие маскировку и постоянное присутствие в системе; могут также выполнять проброс портов и загружать обновления или резервные бэкдоры.  

Все перечисленные компоненты взаимодействуют друг с другом через виртуальный файл, создаваемый руткитом. Чтение и запись в этот файл осуществляются по команде с C2-сервера.

 

Способ доставки FontOnLake на Linux-сервер установить не удалось. Конечная цель злоумышленников тоже пока неизвестна. С полнотекстовой версией отчета ESET можно ознакомиться на сайте компании (PDF).

Microsoft закрывает десктопный Sway — сервис окончательно уходит в браузер

Microsoft постепенно сворачивает историю Sway как десктопного приложения. Компания официально подтвердила: версию программы Sway для Windows (Win32) отправят на покой 1 июня 2026 года. После этого сервис останется доступен только в браузере — через Office Online.

Новость не слишком неожиданная. Microsoft уже давно делает ставку на веб-версии своих сервисов, а мобильное приложение Sway для iOS, напомним, закрыли ещё в 2018 году. Теперь очередь дошла и до Windows — фактически это финальная точка в переходе Sway полностью в облако.

Положительный момент в том, что ничего ломаться не должно. По заверениям Microsoft, все презентации, отчёты и интерактивные материалы никуда не денутся. Данные сохранятся, функциональность останется прежней, а сам переход обещают сделать максимально незаметным — особенно для тех, кто и так работает с Sway через браузер.

Почему Microsoft идёт этим путём, тоже понятно. Веб-приложения проще поддерживать, обновления выходят быстрее, а пользовательский опыт получается более одинаковым на разных устройствах. Для компании это меньше лишнего кода и затрат, для пользователей — меньше зависимостей от конкретной платформы.

Впрочем, реакция ожидаемо будет неоднозначной. Кому-то удобно жить в браузере и забыть про установку программ. А кто-то по-прежнему предпочитает «настоящие» десктопные приложения — особенно в корпоративной среде.

Если вы всё ещё используете Sway как настольное приложение, времени подготовиться более чем достаточно — почти два года. А дальше выбор будет простой: браузер или ничего.

RSS: Новости на портале Anti-Malware.ru