RotaJakiro — новое вредоносное ПО для GNU/Linux, маскирующееся под процесс systemd, 3 года оставалось незамеченным🤔
Исследовательская
лаборатория 360 Netlab сообщила о выявлении нового вредоносного ПО для Linux, получившего кодовое имя
RotaJakiro
и включающего реализацию бэкдора, позволяющего управлять системой. Вредоносное ПО могло быть установлено атакующими после эксплуатации неисправленных уязвимостей в системе или подбора ненадёжных паролей.
Из особенностей
RotaJakiro
называется использование разных техник
маскировки при запуске. Для скрытия своего присутствия бэкдор использовал имена процессов
systemd-daemon, session-dbus и gvfsd-helper, которые, с учётом
нагромождения современных дистрибутивов GNU/Linux всевозможными служебными процессами, на первый взгляд казались легитимными и не вызывали подозрений.🤷🏼♀️
Для скрытия результатов своей деятельности в бэкдоре также применялось несколько алгоритмов шифрования, для шифрования своих ресурсов использовался AES, а для скрытия канала связи с управляющим сервером связка из AES, XOR и ROTATE в сочетании со сжатием при помощи ZLIB. —
Это позволило бекдору 3 года быть не обнаруженным ни для одного антивируса, несмотря на то что еще в 2018 его загружали на VirusTotal😳
Для получения управляющих команд вредоносное ПО обращалось к 4 доменам через сетевой порт 443. Домены управления были зарегистрированы в 2015 году и размещены у киевского хостинг-провайдера Deltahost. В бэкдор были интегрированы 12 базовых функций, которые позволяли загружать и выполнять плагины с расширенной функциональностью, передавать данные об устройстве, перехватывать конфиденциальные данные и управлять локальными файлами.🤨
=================
Еще один камень в огород
systemd
А проверка файлов через VirusTotal — дает далеко не объективный результат☝🏻