Новая вредоносная программа Plague Linux скрытно поддерживает доступ по SSH

[zender]

Недавно обнаруженное вредоносное ПО для Linux, которое оставалось незамеченным более года, позволяет злоумышленникам получать постоянный доступ по протоколу SSH и обходить аутентификацию на взломанных системах.


Исследователи безопасности Nextron Systems, которые идентифицировали вредоносное ПО и окрестили его «Plague», описывают его как вредоносный подключаемый модуль аутентификации (PAM), который использует методы многоуровневой обфускации и вмешательства в среду, чтобы избежать обнаружения традиционными средствами безопасности.


Эта вредоносная программа обладает возможностями противодействия отладке, препятствующими попыткам анализа и обратного проектирования, обфускацией строк для усложнения обнаружения, жестко запрограммированными паролями для скрытого доступа, а также способностью скрывать артефакты сеанса, которые обычно раскрывают активность злоумышленника на зараженных устройствах.

После загрузки он также очистит среду выполнения от любых следов вредоносной активности, отменив установки переменных среды, связанных с SSH, и перенаправив историю команд в /dev/null, чтобы предотвратить ведение журнала, удалить контрольные журналы и метаданные входа в систему, а также стереть цифровой след злоумышленника из журналов истории системы и интерактивных сеансов.


«Plague глубоко интегрируется в стек аутентификации, переживает обновления системы и практически не оставляет криминалистических следов. В сочетании с многоуровневой обфускацией и вмешательством в среду это делает его исключительно сложным для обнаружения с помощью традиционных инструментов», — заявил исследователь угроз Пьер-Анри Пезье .

Вредоносное ПО активно дезинфицирует среду выполнения, чтобы устранить следы сеанса SSH. Переменные среды, такие как SSH_CONNECTION и SSH_CLIENT, сбрасываются с помощью unsetenv, а HISTFILE перенаправляется в /dev/null для предотвращения регистрации команд оболочки.

При анализе вредоносного ПО исследователи также обнаружили артефакты компиляции, указывающие на активную разработку в течение длительного периода, причем образцы были скомпилированы с использованием различных версий GCC в различных дистрибутивах Linux.

Кроме того, хотя за последний год на VirusTotal было загружено несколько вариантов бэкдора, ни один из антивирусных движков не пометил их как вредоносные, что позволяет предположить, что создатели вредоносного ПО действовали незамеченными.

«Бэкдор Plague представляет собой сложную и постоянно развивающуюся угрозу для инфраструктуры Linux, используя основные механизмы аутентификации для обеспечения скрытности и устойчивости», — добавил Пезье. «Использование им продвинутой обфускации, статических учётных данных и вмешательства в среду делает его особенно сложным для обнаружения традиционными методами».

В мае компания Nextron Systems обнаружила еще одно вредоносное ПО, использующее гибкость инфраструктуры аутентификации Linux PAM (Pluggable Authentication Modules), что позволяет его создателям красть учетные данные, обходить аутентификацию и незаметно закрепляться на взломанных устройствах.