Новый Linux-руткит Syslogk использует волшебные пакеты для запуска бэкдора

Новый Linux-руткит Syslogk использует волшебные пакеты для запуска бэкдора

Новый Linux-руткит Syslogk использует волшебные пакеты для запуска бэкдора

Новый руткит для Linux, получивший имя “Syslogk“, используется злоумышленниками для сокрытия вредоносных процессов. Специально созданные «волшебные пакеты» (magic packets), фигурирующие в этих атаках, задействуются для пробуждения бэкдора в системе жертвы.

В настоящее время вредоносная программа находится в стадии доработки, а в её основу лёг старый руткит с открытым исходным кодом — Adore-Ng. Syslogk способен загружать свои модули в ядро Linux (поддерживаются версии 3.x), скрывать директории и сетевой трафик, а также загружать бэкдор “Rekoobe“.

При первом запуске в качестве модуля ядра Syslogk удаляет свою запись из списка установленных модулей, что помогает уйти от ручной проверки. Вредонос можно обнаружить лишь по интерфейсу в /proc:

 

Дополнительная функциональность позволяет руткиту скрывать директории, в которых содержатся вредоносные файлы; то же самое происходит с процессами и трафиком. Помимо этого, зловред может удалённо запускать или останавливать пейлоады.

Специалисты антивирусной компании Avast отметили одного из скрытых вредоносов, который используется в этих кампаниях — бэкдор Rekoobe. Фактически он находится «в спячке» на устройстве жертвы и пробуждается только после того, как руткит получит «волшебные пакеты» от операторов.

Для этого Syslogk выискивает специально созданные TCP-пакеты, содержащие жёстко заданный ключ и конкретные значения поля “Reserved“, число “Source Port“, а также совпадения “Source Port“ и “Source Address“. После получения нужного «волшебного пакета» руткит либо остановит, либо запустит бэкдор.

Напомним, что в прошлом месяце мы рассказывали о другом бэкдоре — BPFdoor, который пять лет атаковал Linux и Solaris, оставаясь незамеченным. Уже в июне эксперты рассказали ещё об одном Linux-вредоносе Symbiote, инфицирующем запущенные процессы.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Линус Торвальдс назвал патчи Google для RISC-V в Linux мусором

Линус Торвальдс снова высказался в своём фирменном стиле — на этот раз в адрес инженера Google из команды Android, Пальмера Даббелта. Поводом стали патчи для архитектуры RISC-V, предложенные в Linux Kernel 6.17, который сейчас находится в стадии merge window.

Торвальдс резко раскритиковал не только качество кода, но и время его отправки:

«Нет. Это мусор, и он пришёл слишком поздно. Я просил присылать пул-реквесты заранее, потому что я в поездке. Если вы не можете следовать этому правилу, то хотя бы делайте пул-реквесты качественными».

По его словам, изменения включали «всякий хлам», не относящийся к RISC-V, в общие заголовочные файлы ядра. И, как подчеркнул Торвальдс, «это то, что никто никогда не должен мне присылать — тем более поздно в merge window».

Фактически он посоветовал Даббелту перенести правки на следующий релиз — Linux Kernel 6.18 — вместо того, чтобы пытаться «додавить» их в текущий.

Хотя формально merge window не запрещает отправку новых изменений, негласное правило простое: код в этот период должен быть полностью готов и чист. В этот раз, по мнению Торвальдса, условие нарушено, поэтому его резкая реакция вряд ли стала неожиданностью для сообщества.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru