OrBit: новый скрытный Linux-бэкдор с необычным угоном потока выполнения

OrBit: новый скрытный Linux-бэкдор с необычным угоном потока выполнения

OrBit: новый скрытный Linux-бэкдор с необычным угоном потока выполнения

Проведенный в Intezer анализ показал, что новый Linux-бэкдор использует не встречавшийся ранее способ перехвата функций для внедрения в легитимные процессы. Подмену подключаемой библиотеки при этом почти невозможно обнаружить.

Зловред с кодовым именем OrBit устанавливается в систему как временный либо постоянный имплант. Стойкость ему придает возможность перехвата ключевых функций; основными задачами новобранца являются кража учетных данных, регистрация tty-команд и обеспечение удаленного доступа к зараженной машине по SSH.

Атака начинается с ELF-файла — дроппера с полезной нагрузкой (libdl.so), которая извлекается и добавляется к библиотекам общего пользования, загружаемым линкером. (Уровень детектирования на VirusTotal в обоих случаях 11/60, по состоянию на 7 июля.)

Вредонос умеет перехватывать функции трех библиотек — libc, libcap и PAM (подключаемый модуль аутентификации). Загрузка вредоносного разделяемого объекта в память при этом может осуществляться двумя способами: через добавление его в конфигурационный файл, используемый загрузчиком, или патчинг самого бинарника.

Для кражи данных вредонос ставит хуки на функции чтения/записи и регистрирует все, что записывается в рамках запущенных процессов, в том числе команды bash и sh. Результаты сохраняются во временных файлах, которые OrBit создает в зараженной системе, притом в гораздо большем количестве, чем аналогичные зловреды.

Перехват функций — хорошо известный прием бесфайловых вредоносных программ, но для подмены разделяемого объекта в памяти они обычно модифицируют переменную окружения LD_PRELOAD. Такую технику используют, например, Linux-бэкдоры HiddenWasp, BPFDoor, Symbiote. Новобранца OrBit отличает от них новаторский способ хукинга — по словам Intezer, почти «непроницаемый» (hermetic), который позволяет зловреду закрепиться в системе и уклоняться от обнаружения, параллельно воруя информацию и открывая SSH-дверь.

Selectel запустил сервис аварийного восстановления инфраструктуры в облаке

Selectel запускает решение для аварийного восстановления инфраструктуры (Disaster Recovery, DR) на базе Хайстекс Акура. Сервис позволит компаниям создавать резервную площадку в облаке Selectel и быстро восстанавливать работоспособность IT-систем и бизнес-приложений в случае недоступности основной инфраструктуры.

Решение предназначено для компаний, которым важно минимизировать риски простоя критически важных сервисов и обеспечить быстрое восстановление инфраструктуры в случае сбоев. Сервис востребован в финансовом секторе, электронной коммерции, промышленности, телекоммуникациях и других сферах, где доступность цифровых сервисов имеет ключевое значение для бизнеса.

Продукт позволяет поддерживать актуальную копию инфраструктуры в резервном регионе облачной платформы Selectel, включая виртуальные машины, приложения, данные и сетевые настройки, а также автоматизирует процессы аварийного восстановления. Параметры восстановления настраиваются индивидуально для систем в зависимости от их критичности для бизнеса.

Решение также подходит для резервирования инфраструктуры, размещенной у других провайдеров или в собственной виртуальной инфраструктуре заказчика (on-premise) и поддерживает сценарии аварийного восстановления даже при смене гипервизора. В облачной платформе Selectel создается резервная копия инфраструктуры клиента. При возникновении сбоя на основной площадке компания может оперативно переключить критически важные сервисы на резервный контур и минимизировать время простоя IT-систем.

Внедрение сервиса не требует сложной самостоятельной настройки. Специалисты Selectel выполняют полный комплекс работ: проектируют архитектуру резервирования, настраивают репликацию данных и сценарии восстановления, проводят тестовые переключения с моделированием аварийных ситуаций.

Новый сервис дополняет экосистему решений Selectel для обеспечения надежности и непрерывной доступности инфраструктуры, включая инструменты резервного копирования и сервис S3 Vault для защищенного хранения резервных копий данных.

RSS: Новости на портале Anti-Malware.ru