64-बिट लिनक्स के लिए नया रूटकिट: iframe कार्यान्वयन

कुछ दिनों पहले, लिनक्स के लिए एक दिलचस्प मैलवेयर प्रोग्राम के बारे में पूर्ण प्रकटीकरण मेलिंग सूची पर एक संदेश दिखाई दिया। यह एक बहुत ही दिलचस्प नमूना है - न केवल इसलिए क्योंकि यह 64-बिट लिनक्स प्लेटफार्मों के लिए डिज़ाइन किया गया है और सरल तरीकों का उपयोग करते हुए सिस्टम में अपनी उपस्थिति को छुपाता है, लेकिन मुख्य रूप से एक हमले वाले HTTP सर्वर पर होस्ट की गई साइटों के संक्रमण से संबंधित असामान्य कार्यक्षमता के कारण। । इस प्रकार, हम एक दुर्भावनापूर्ण प्रोग्राम के साथ काम कर रहे हैं जिसका उपयोग ड्राइव-बाय मैलवेयर डाउनलोड को व्यवस्थित करने के लिए किया जाता है।


दुर्भावनापूर्ण मॉड्यूल विशेष रूप से कर्नेल संस्करण 2.6.32-5-amd64 के लिए बनाया गया था। यह निचोड़ 64-बिट के डेबियन संस्करण पर उपयोग किया गया नवीनतम कर्नेल संस्करण है। निष्पादन योग्य फ़ाइल का आकार 500 kB से अधिक है, लेकिन यह इस तथ्य के कारण है कि इसे डिबगिंग जानकारी के साथ संकलित किया गया था। शायद मॉड्यूल विकास के स्तर पर है: ऐसा लगता है कि कुछ फ़ंक्शन पूरी तरह से डिबग नहीं होते हैं या शायद, अभी तक पूरी तरह से लागू नहीं हुए हैं।

दुर्भावनापूर्ण प्रोग्राम /etc/rc.local स्क्रिप्ट में एक पंक्ति जोड़कर अपना ऑटोरन प्रदान करता है:

insmod /lib/modules/2.6.32-5-amd64/kernel/sound/module_init.ko

मेमोरी में लोड होने के बाद, रूटकिट कर्नेल प्रतीकों को प्राप्त करने और उन्हें लिखने के लिए दो तरीकों में से एक का उपयोग करता है।

/bin/bash -c cat /proc/kallsyms > /.kallsyms_tmp
/bin/bash -c cat /boot/System.map-`uname -r` > /.kallsyms_tmp

फिर यह कई कार्यों और कर्नेल चर के मेमोरी पतों को निकालता है और भविष्य में उपयोग के लिए मेमोरी में संग्रहीत करता है।



अस्थायी फ़ाइल को तुरंत हटा दिया जाता है:

rm /.kallsyms_tmp -f

दुर्भावनापूर्ण प्रोग्राम को लॉन्च करने वाली स्टार्टअप स्क्रिप्ट की फ़ाइलों और लाइन को छिपाने के लिए, रूटकिट निम्नलिखित कर्नेल फ़ंक्शन को स्पाइसिंग करके या एड्रेस को मेमोरी में बदलकर अपने दुर्भावनापूर्ण रूटकिट फ़ंक्शंस को स्वीकार करता है:

vfs_readdir
vfs_read
filldir64
filldir


अपने स्वयं के मॉड्यूल को छिपाने के अलावा, मैलवेयर निम्नलिखित फाइलों और धाराओं को छिपाने की कोशिश करता है:

zzzzzz_command_http_inject_for_module_init
zzzzzz_write_command_in_file
module_init.ko
sysctl.conf
/usr/local/hide/first_hide_file/*
/ah34df94987sdfgDR6JH51J9a9rh191jq97811/*

backconnect_command_thread_name
new_backconnect_command_thread_name
read_command_http_inject_thread_name
write_startup_command_thread_name
write_se_linux_command_thread_name
get_http_inj_from_server_thread_name

फ्लोटिंग फ्रेम (iFrame) शुरू करने के लिए एक दिलचस्प तंत्र: एक दुर्भावनापूर्ण प्रोग्राम tcp_sendmsg सिस्टम फ़ंक्शन को बदलता है, जो टीसीपी पैकेट बनाने के लिए अपने स्वयं के फ़ंक्शन के साथ जिम्मेदार है। इस प्रकार, दुर्भावनापूर्ण फ़्रेम सीधे आउटगोइंग टीसीपी पैकेट को संशोधित करके HTTP ट्रैफ़िक में एम्बेडेड होते हैं।



वर्तमान एम्बेडेड डेटा ब्लॉक प्राप्त करने के लिए, दुर्भावनापूर्ण प्रोग्राम प्रमाणीकरण के लिए एक एन्क्रिप्टेड पासवर्ड का उपयोग करके प्रबंधन सर्वर (C & C) से जुड़ता है।



हम मैलवेयर द्वारा उपयोग किए गए पोर्ट के माध्यम से प्रबंधन सर्वर से कनेक्ट करने में असमर्थ थे, लेकिन मैलवेयर सर्वर अभी भी सक्रिय है; इसमें UNIX जैसे ऑपरेटिंग सिस्टम के अन्य उपकरण भी शामिल हैं, विशेष रूप से, लॉग को साफ करने के लिए उपकरण।

अब तक, अधिकांश ड्राइव-बाय हमले परिदृश्यों में, एक साधारण PHP स्क्रिप्ट का उपयोग करके स्वचालित मैलवेयर इंजेक्शन तंत्र को लागू किया गया है। लेकिन इस मामले में, हम बहुत अधिक जटिल तंत्र के साथ काम कर रहे हैं - कर्नेल मोड के रूटकिट घटक का उपयोग, जो परिष्कृत अवरोधन प्रौद्योगिकियों का उपयोग करता है, जो हमें कार्यान्वयन प्रक्रिया को पहले से कहीं अधिक पारदर्शी (अदृश्य) और निम्न स्तर बनाने की अनुमति देता है। यह रूटकिट, जो वर्तमान में विकास के अधीन है, ड्राइव-बाय हमलों के आयोजन के लिए एक नया दृष्टिकोण प्रदर्शित करता है। निस्संदेह, कोई भविष्य में अन्य समान दुर्भावनापूर्ण कार्यक्रमों की उपस्थिति की उम्मीद कर सकता है।

इस रूटकिट का एक उत्कृष्ट विस्तृत विश्लेषण हाल ही में CrowdStrike ब्लॉग पर पोस्ट किया गया था।

Kaspersky Lab उत्पाद इस रूटकिट का पता लगाते हैं

Rootkit.Linux.Snakso.a