लिनक्स / Ebury पिछले दरवाजे का विस्तृत विश्लेषण

हाल ही में, हमारे शोधकर्ताओं ने ओपनएसएसएच बैकडोर और पासवर्ड चोर लिनक्स / ईबरी का विश्लेषण किया। यह विश्लेषण जर्मन सीईआरटी-बंड , स्वीडिश एसएनआईसी और यूरोपीय संगठन सीईआरएन के साथ-साथ अन्य संगठनों के साथ मिलकर काम करने वाले ईएसईटी का परिणाम है, जो अंतर्राष्ट्रीय कार्य समूह के सदस्य हैं। Linux / Ebury एक जटिल बैकडोर है जिसका उपयोग हमलावरों द्वारा OpenSSH प्रमाणीकरण डेटा चोरी करने के लिए किया जाता है, साथ ही एक समझौता किए गए सर्वर (पिछले दरवाजे) तक पहुंच प्राप्त करता है।



पिछली रिपोर्टों के अनुसार, यह बैकडोर कम से कम दो वर्षों से सक्रिय है। लिनक्स / ईबरी को दो अलग-अलग रूपों में वितरित किया जा सकता है: एक दुर्भावनापूर्ण पुस्तकालय और ओपनएसएसएच बायनेरिज़ के लिए एक पैच। दुर्भावनापूर्ण लाइब्रेरी libkeyutils.so फ़ाइल का एक संशोधन है। यह लाइब्रेरी OpenSSH घटकों के लिए सामान्य है और इसकी निष्पादन योग्य फ़ाइलों, जैसे ssh, sshd और ssh-agent से भरी हुई है। विश्लेषण यह जानकारी प्रकाशित करेगा कि दुर्भावनापूर्ण कोड कैसे प्रमाणीकरण डेटा को चुराता है और सिस्टम प्रशासक एक संक्रमित प्रणाली का पता कैसे लगा सकता है।

लिनक्स / Ebury मैलवेयर किसी कारण से दिलचस्प है। इससे पहले, हमने विंडोज के तहत दुर्भावनापूर्ण पुस्तकालयों को देखा, और यह पहली बार है कि हम पोसिक्स सिस्टम के लिए एक समान मॉड्यूल का निरीक्षण करते हैं। वह अपने कोड को प्रक्रिया के पता स्थान में इंजेक्ट करने के लिए, फ़ंक्शन को इंटरसेप्ट करने के लिए विशेष तकनीकों का उपयोग करता है, जो लाइब्रेरी को लोड करता है और रनटाइम पर कोड को विशेष रूप से संशोधित करता है। हम मानते हैं कि ओपनएसएसएच प्रक्रिया तक पहुंच प्राप्त करने के लिए बाहरी पुस्तकालय पद्धति का उपयोग करने से पहले, लिनक्स / ईबरी के लेखक ने ओपनएसएसएच स्रोत कोड को संशोधित करने के लिए एक विशेष पैच का उपयोग किया, जिससे इस सॉफ्टवेयर में "नई सुविधाओं" को जोड़ा गया। दुर्भावनापूर्ण कोड के पहले वेरिएंट बिल्कुल इस तरह दिखते थे, क्योंकि हमने एक समझौता किए गए सर्वर की डिस्क पर ओपनएसएसएच बाइनरी फ़ाइलों को संशोधित किया: एसश, एसएएसडी और एसश-ऐड। हमने मूल ओपनएसएसएच सॉफ्टवेयर पैकेज (ओपनश-सर्वर और ओपनश-क्लाइंट) से हस्ताक्षर हटाने के लिए आरपीएम कमांड के उपयोग के साथ-साथ आरपीएम डेटाबेस के संशोधन को उनके दुर्भावनापूर्ण संशोधित समकक्षों में फ़ाइल हैश को अपडेट करने के लिए भी देखा। यह संशोधन आपको आरपीएम का उपयोग करके उनके हैश की जाँच करके फ़ाइल संशोधनों का पता लगाने से रोकता है - ओपनश-सर्वर कमांड को निर्दिष्ट करें । उसी समय, आरपीएम -की ओपनश-सर्वर कमांड उनकी अनुपस्थिति दिखाएगा।

Linux / Ebury के बाद के संस्करण सीधे OpenSSH फ़ाइलों को संशोधित नहीं करते हैं। इसके बजाय, वे libkeyutils.so पुस्तकालय के अपने संस्करण का उपयोग करते हैं, जो सभी ओपनएसएसएच निष्पादन योग्य लोगों द्वारा जुड़ा हुआ है। मूल पुस्तकालय में किए गए परिवर्तन ओपनएसएसएच बाइनरी फ़ाइलों को संशोधित करने के लिए उपयोग किए गए समान हैं, जिन्हें हमने ऊपर उल्लेख किया है, सिवाय इसके कि कुछ कार्यों को अंतःक्रियात्मक और निष्पादन के दौरान पैच किया जाता है (रनटाइम पैचिंग)। आमतौर पर यह फाइल 10 केबी आकार की होती है। दुर्भावनापूर्ण कोड अपने कोड के लगभग 20 Kb को इस फ़ाइल में जोड़ता है, जिसके बाद फ़ाइल का आकार पहले से ही 30 Kb है।

नीचे दो उदाहरण हैं कि सिस्टम में पिछले दरवाजे को कैसे स्थापित किया जाता है। पहले संक्रमित लिनक्स / ईबरी फ़ाइल को दिखाता है, जो स्वच्छ libkeyutils.so फ़ाइल का अनुसरण करता है। प्रतीकात्मक लिंक को संशोधित किया गया है और एक दुर्भावनापूर्ण संस्करण को इंगित करता है।



निम्न स्क्रीनशॉट एक परिदृश्य दिखाता है जिसमें libkeyutils.so पुस्तकालय दुर्भावनापूर्ण संस्करण द्वारा अधिलेखित है।



हालाँकि पुस्तकालयों के भीतर दुर्भावनापूर्ण कोड रखने की प्रथा पहले भी देखी जा चुकी है, लेकिन हमने ओपनएसएसएच के व्यवहार को संशोधित करने के लिए इसे लिनक्स में पहली बार खोजा है।

दुर्भावनापूर्ण कोड के विभिन्न कार्यों को लागू करने के लिए, यह एक विशेष निर्माण फ़ंक्शन का उपयोग करता है, जिसे libkeyutils.so में जोड़ा जाता है। बाइनरी फ़ाइल को लोड करने पर यह फ़ंक्शन बूटलोडर द्वारा बुलाया जाएगा। यह निर्धारित करता है कि यह किस फ़ाइल से लॉन्च किया गया था, जिसके बाद यह निष्पादन योग्य कोड को संशोधित करता है और आयात तालिका के कार्यों को स्वीकार करता है।

नवीनतम लिनक्स / ईबरी वेरिएंट में, हमलावर एक साधारण XOR और एक स्थिर कुंजी का उपयोग करके दुर्भावनापूर्ण कोड की लाइनों को एन्क्रिप्ट करते हैं। अपने कोड को अनपैक करने के बाद, दुर्भावनापूर्ण प्रोग्राम dlsym कॉल का उपयोग करके इसके लिए आवश्यक फ़ंक्शन के पते प्राप्त करता है। उसके बाद, यह द्विआधारी फ़ाइल की स्मृति में खुद को dlopen (NULL, RTLD_NOW) के माध्यम से प्राप्त करता है और इस पते (हैंडल) को dlinfo फ़ंक्शन (हैंडल, RTLD_DI_LINKMAP, ...) को पास करता है । यह विधि तब भी काम करेगी जब ASLR सिस्टम में सक्रिय है। इन फ़ंक्शन को कॉल करने से लिनक्स / ईबरी को निष्पादन योग्य ईएलएफ फ़ाइल के आयात तालिका का विश्लेषण करने और स्मृति (अवरोधन) में इसके आयात को बदलने की अनुमति मिलती है। परिणामस्वरूप, जब sshsh, sshd या ssh-add प्रोग्राम में से कोई एक इंटरसेप्टेड फ़ंक्शन को कॉल करता है, तो निष्पादन थ्रेड को libkeyutils.so से फ़ंक्शन के दुर्भावनापूर्ण कार्यान्वयन के लिए पुनर्निर्देशित किया जाएगा। नीचे दिए गए कोड स्निपेट को मेमोरी में मॉड्यूल एड्रेस को खोजने के लिए dlopen और dlinfo कॉल दिखाता है, और फिर ELF हेडर की जानकारी को पार्स करता है।



दुर्भावनापूर्ण कोड विभिन्न कार्यों को स्वीकार करता है (जब libkeyutils.so के दुर्भावनापूर्ण संशोधन को sshd प्रक्रिया में लोड किया जाता है):

• audit_log_user_message
• audit_log_acct_message
• hosts_access
• कनेक्ट
• __syslog_chk
• लिखने
• syslog
• popen
• hosts_access
• तहखाने
• pam_start

ये फ़ंक्शन स्वाभाविक रूप से लॉगिंग फ़ंक्शंस हैं, अर्थात, उन्हें प्रोग्राम की गतिविधि को रिकॉर्ड करने के लिए उपयोग किया जा सकता है। यदि सिस्टम में एक बैकडोर मौजूद है, तो इन कार्यों को इंटरसेप्ट किया जाएगा और दुर्भावनापूर्ण समकक्षों द्वारा प्रतिस्थापित किया जाएगा, जो उनके प्रत्यक्ष कर्तव्यों के प्रदर्शन को बाधित करता है। दुर्भावनापूर्ण कोड अन्य कार्यों को स्वीकार करता है, उदाहरण के लिए, pam_start , क्रिप्ट और कनेक्ट, जिसका उपयोग किया जाता है, उदाहरण के लिए, दर्ज पासवर्ड चोरी करने के लिए। अंतिम फ़ंक्शन को Xbnd पर आगे नियंत्रण के लिए इंटरसेप्ट किया गया है (नीचे देखें), और इस कनेक्ट से कॉल करने से पहले सॉकेट (बाइंड) के बाइंड फ़ंक्शन को कॉल किया जाता है।

इस घटना में कि आयात तालिका का उपयोग करके फ़ंक्शन को रोकना संभव नहीं है, लिनक्स / Ebury सीधे बाइनरी फ़ाइल के एक विशिष्ट अनुभाग में कोड को संशोधित करता है, कोड की कुछ शाखाओं को इसके कार्यान्वयन के लिए पुनर्निर्देशित करता है। नीचे दिया गया आंकड़ा इस तरह के अवरोधन का एक उदाहरण दिखाता है, ssh प्रोग्राम key_parse_pStreet_pem फ़ंक्शन को कॉल करता है और निष्पादन थ्रेड दुर्भावनापूर्ण कोड पर पुनर्निर्देशित होता है। लाल रंग में हाइलाइट किया गया पता ssh निष्पादन योग्य छवि से परे जाता है और libkeyutils.so के लिए एक दुर्भावनापूर्ण संशोधन को इंगित करता है। यह अवरोधन तब मूल फ़ंक्शन को कॉल करेगा, निजी कुंजी को मेमोरी में संग्रहीत करेगा और फिर इसे मैलवेयर ऑपरेटरों को पास करेगा।



कोड सेगमेंट में निर्देशों को संशोधित करने से पहले, प्रोग्राम विभाजन से संबंधित दोषों को पकड़ने के लिए एक विशेष हैंडलर स्थापित करता है। जब प्रक्रिया SIGSEGV या SIGBUS सिग्नल प्राप्त करती है तो ऐसे हैंडलर को बुलाया जाएगा। सिग्नल की स्थिति में, लिनक्स / ईबरी बस अपने काम को बाधित करेगा और ओपनएसएसएच को अपने कोड को निष्पादित करने की अनुमति देगा। ऐसे कार्यों को निष्पादित करना शुरू करने से पहले जो एक प्रक्रिया दुर्घटना का कारण बन सकते हैं, यह पर्यावरण की वर्तमान स्थिति (स्नैपशॉट) को बचाने के लिए sigsetjmp फ़ंक्शन को कॉल करता है। यदि, भविष्य में, कोई अपवाद होता है , तो पर्यावरण को इसकी मूल स्थिति में पुनर्स्थापित करने के लिए सिग्लॉन्गजम्प का उपयोग किया जाएगा।

कोड को संशोधित करने की यह तकनीक सीमित है क्योंकि कोड ऑफ़सेट्स जिन्हें ठीक करने की आवश्यकता है, उन्हें libkeyutils.so के शरीर में हार्ड वायर्ड किया जाता है। इस प्रकार, इसकी प्रभावशीलता द्विआधारी फ़ाइल तक सीमित है जिसमें ये संशोधन निर्देशित हैं। व्यवहार में, प्रत्येक libkeyutils.so संशोधन ओपनएसएसएच के तीन या पांच अलग-अलग संस्करणों पर काम करेगा और लिनक्स वितरण पर निर्भर करेगा।

एसएसएच क्लाइंट द्वारा उपयोग किए जाने वाले प्रोटोकॉल संस्करण की पहचान करने वाली रेखा के अंदर विशेष रूप से गठित डेटा भेजकर पिछले दरवाजे को सक्रिय किया जाता है। निम्नलिखित SSH विनिर्देश का हिस्सा है, जो एक प्रोटोकॉल संस्करण के उपयोग को इंगित करता है।

सॉकेट खोले जाने के बाद, सर्वर एक पहचान स्ट्रिंग भेजता है, जो कि "एसएसएच-प्रोटोकॉलमजोर.प्रोकोटोमिनॉर-संस्करण" के रूप में है, जहां प्रोटोकॉलमेजर और प्रोटोकॉलमिनर पूर्णांक होते हैं और प्रोटोकॉल संस्करण संख्या निर्दिष्ट करते हैं (सॉफ्टवेयर संस्करण नहीं)। संस्करण सर्वर साइड सॉफ्टवेयर संस्करण स्ट्रिंग (अधिकतम 40 वर्ण) है; यह दूरस्थ पक्ष द्वारा व्याख्या नहीं की गई है, लेकिन डिबगिंग के लिए उपयोगी हो सकती है।
www.openssh.com/txt/ssh-rfc-v1.5.txt - टी। यलोनेन

भाग वास्तव में कुछ भी हो सकता है और एसएसएच सर्वर द्वारा किसी भी तरह से व्याख्या नहीं की जानी चाहिए। लिनक्स / Ebury पिछले दरवाजे के मामले में, क्षेत्र में 22 या अधिक वर्णों की लंबाई के साथ हेक्साडेसिमल वर्णों का एक स्ट्रिंग होता है। इसमें सिस्टम एक्सेस पासवर्ड के 11 वर्ण शामिल हैं, जो क्लाइंट आईपी एड्रेस मान का उपयोग करके एन्क्रिप्ट किया गया है और फिर हेक्साडेसिमल स्ट्रिंग के रूप में एन्कोड किया गया है; पासवर्ड भी कमांड के चार वैकल्पिक बाइट्स द्वारा पीछा किया जा सकता है, जिसे एन्क्रिप्ट भी किया गया है।

कृपया ध्यान दें कि प्रोटोकॉल का उपयोग किया गया संस्करण क्लाइंट और सर्वर एन्क्रिप्शन पर सहमत होने से पहले भेजा जाता है, जो नेटवर्क ट्रैफ़िक में दुर्भावनापूर्ण प्रोग्राम के व्यवहार का पता लगाने की अनुमति देता है।

SSH प्रोटोकॉल के संस्करण का एक उदाहरण, अगली बार जब रूट शेल लॉन्च किया जाता है, तो यह इस तरह दिखता है:

SSH-2.0-fb54c28ba102cd73c1fe43

पिछले दरवाजे ने पासवर्ड को सत्यापित करने के बाद, sshd प्रक्रिया आपको बाद के सफल प्रमाणीकरण के लिए पासवर्ड के रूप में किसी भी वर्ण का उपयोग करने की अनुमति देगा। यदि PermitRootLogin , PasswordAuthentication या PermitEmptyPassword विकल्प कॉन्फ़िगरेशन में अक्षम हैं , तो दुर्भावनापूर्ण कोड उन्हें सक्षम करेगा। यह नए सत्र को सफलतापूर्वक बनाने के लिए किसी भी लॉगिंग संचालन को अक्षम कर देगा ताकि हमलावरों की गतिविधि को ट्रैक करना असंभव हो। संस्करणों में 1.3.1 और बाद में, पासवर्ड के SHA-1 हैश को बाइनरी फ़ाइल में संग्रहीत किया जाता है, और प्रोटोकॉल संस्करण स्ट्रिंग के 11 वर्णों में नहीं जैसा कि ऊपर बताया गया है। यह अभ्यास पासवर्ड का अनुमान लगाना असंभव बनाता है यदि आपके पास ऑपरेटरों से लॉगिन संचालन को ट्रैक करने के लिए नेटवर्क पैकेट कैप्चर करने का कोई उपकरण नहीं है। इसके अलावा, पासवर्ड दुर्भावनापूर्ण कोड के विभिन्न संशोधनों में भिन्न होता है। सबसे अधिक संभावना है, मैलवेयर ऑपरेटरों के पास बैकवर्ड एक्सेस के लिए संबंधित पासवर्ड के साथ संक्रमित सर्वर का एक डेटाबेस है, ताकि वे उनमें से प्रत्येक को व्यक्तिगत रूप से सक्रिय कर सकें।



लिनक्स / Ebury का मुख्य उद्देश्य प्रमाणीकरण के लिए उपयोग किए जाने वाले क्रेडेंशियल्स को चोरी करना है। चुराए गए खाते का डेटा सबसे अधिक सर्वरों को संक्रमित करने की संभावना थी। दुर्भावनापूर्ण कोड में स्वयं-वितरण क्षमताएं नहीं होती हैं, सबसे अधिक संभावना है कि यह हमलावरों द्वारा स्वयं वितरित किया जाता है या विशेष स्क्रिप्ट के माध्यम से स्थापित किया जाता है। पीड़ित द्वारा एकत्र या उपयोग किए जाने पर खाता डेटा को कई स्थानों पर इंटरसेप्ट किया जाता है।

• संक्रमित सर्वर के लिए एक सफल लॉगिन ऑपरेशन के लिए पासवर्ड । जब भी कोई Linux / Ebury संक्रमित सिस्टम पर लॉग ऑन करता है, sshd डेमन इस पासवर्ड को सेव करेगा और इसे एक्सफ़िल्टेशन सर्वर पर भेजेगा।
• संक्रमित सर्वर में प्रवेश के संचालन के लिए कोई भी पासवर्ड दर्ज किया गया है । यहां तक ​​कि अगर सर्वर में प्रवेश करने का प्रयास असफल रहा, तो दर्ज उपयोगकर्ता नाम और पासवर्ड हमलावर सर्वर को भेजे जाएंगे।
• एक संक्रमित सर्वर से एक सफल लॉगिन ऑपरेशन के लिए पासवर्ड । जब कोई संक्रमित सर्वर पर ssh क्लाइंट का उपयोग करता है, तो दुर्भावनापूर्ण कोड इस ऑपरेशन को रोक देगा और हमलावर सर्वर को दर्ज पासवर्ड भेज देगा।
• गुप्त पासफ़्रेज़ । जब संक्रमित सर्वर पर SSH क्लाइंट उपयोगकर्ता को सफल लॉगिन के लिए एक निजी कुंजी पासफ़्रेज़ के लिए कहता है, तो उसे दूरस्थ सर्वर पर भेजा जाएगा।
• गुप्त कुंजी अनएन्क्रिप्टेड । जब कोई रिमोट सर्वर पर प्रमाणीकरण के लिए एक गुप्त कुंजी का उपयोग करता है, तो इसका अनएन्क्रिप्टेड संस्करण दुर्भावनापूर्ण कोड द्वारा इंटरसेप्ट किया जाता है। पासवर्ड वाले मामले के विपरीत, यह कुंजी दूरस्थ सर्वर को नहीं भेजी जाएगी, इसके बजाय, इसे मेमोरी में संग्रहीत किया जाएगा। इस स्थिति में, लिनक्स / ईबरी ऑपरेटर के लिए xcat कमांड का उपयोग करके कुंजी को प्रसारित करने की प्रतीक्षा करेगा।
• Ssh-add का उपयोग करके OpenSSH में गुप्त कुंजी जोड़ी गई । कुंजी (OpenSSH एजेंट में जोड़े गए कुंजी और एक गुप्त वाक्यांश का एक अनएन्क्रिप्टेड संस्करण) भी दुर्भावनापूर्ण प्रोग्राम द्वारा इंटरसेप्ट किया गया है।

साख के प्रकार के बावजूद, लिनक्स / ईबरी मैलवेयर ऑपरेटरों के लिए सभी आवश्यक जानकारी (उपयोगकर्ता नाम, गंतव्य आईपी पता और ओपनएसएसएच पोर्ट) को बचाएगा, जो भविष्य में उनका उपयोग कर सकते हैं।

जब लिनक्स / Ebury आवश्यक पासवर्ड को स्वीकार करता है, तो इसे विशेष रूप से तैयार की गई DNS क्वेरी के माध्यम से दूरस्थ सर्वर पर भेजा जाता है। यह एक क्वेरी A रिकॉर्ड (नियमित A रिकॉर्ड अनुरोध) बनाता है, जिसे UDP पोर्ट नंबर 53 पर भेजा जाएगा। अनुरोधित डोमेन नाम के क्षेत्र में हेक्साडेसिमल रूप में एन्क्रिप्टेड डेटा, साथ ही साथ आईपी पता भी शामिल है। डेटा में निम्न प्रारूप है:

<हेक्साडेसिमल प्रतिनिधित्व में एन्क्रिप्टेड डेटा> <आईपी पता>

पहले फ़ील्ड में ऊपर सूचीबद्ध खातों में से एक के लिए डेटा है। उन्हें XOR और 4-बाइट स्थिर कुंजी 0x000d5345 का उपयोग करके एन्क्रिप्ट किया गया है, और फिर हेक्साडेसिमल प्रतिनिधित्व में एन्कोड किया गया है।

अनुरोध में निर्दिष्ट यह आईपी पता चोरी की साख के प्रकार पर निर्भर करता है। यदि क्रेडेंशियल संक्रमित सर्वर को संदर्भित करते हैं, तो स्रोत आईपी पते का उपयोग किया जाता है, अन्यथा, दूरस्थ आईपी पते का उपयोग संक्रमित सर्वर से कनेक्ट करने के लिए किया जाता है। हमारा मानना ​​है कि मैलवेयर लेखकों द्वारा चुने गए चुराए गए डेटा को भेजने का तरीका वैध डीएनएस प्रश्नों के रूप में इस्तेमाल किया जाता है जो कि फायरवॉल द्वारा अवरुद्ध होने से बचने के लिए पोर्ट 53 के माध्यम से भेजे जाते हैं।

दो तरीके हैं जिनके द्वारा लिनक्स / Ebury DNS पैकेट भेजने के लिए एक सर्वर का चयन कर सकते हैं। पहले, यह स्पष्ट रूप से Xver कमांड का उपयोग करते समय ऑपरेटर द्वारा निर्धारित किया जा सकता है। दूसरी विधि डीजीए डोमेन नाम पीढ़ी एल्गोरिथ्म का उपयोग करना है। इस स्थिति में, डोमेन नाम को अस्तित्व के लिए जाँच किया जाएगा और इसके ऑपरेटरों से संबंधित क्वेरी रिकॉर्ड ए और TXT का उपयोग किया जाएगा।

नीचे सूचीबद्ध तीन कमांड हैं जो ऑपरेटरों (हमलावर) को एक समझौता किए गए सर्वर के प्रबंधन की सुविधा के लिए अनुमति देते हैं। इस लाइन के एन्क्रिप्शन ऑपरेशन से पहले कमांड को पिछले दरवाजे की पासवर्ड लाइन (ऊपर देखें) में जोड़ा जाता है। जब पिछले दरवाजे टीम की पहचान करता है, तो वह इसे पहचानता है और आवश्यक कार्य करता है।

• Xcat : सभी पासवर्ड, गुप्त वाक्यांशों और कुंजियों को पिछले दरवाजे की मेमोरी और निकास में संग्रहीत करें।
• Xver : मैलवेयर संस्करण प्रिंट करें और बाहर निकलें। कमांड एक वैकल्पिक चार बाइट्स को एक तर्क के रूप में भी लेता है। यदि यह तर्क मौजूद है, तो इसे दूरस्थ सर्वर के आईपी पते के रूप में व्याख्या किया जाता है जिसमें चोरी किए गए डेटा को स्थानांतरित किया जाना चाहिए (एक्सफ़िल्टर सर्वर)।
• Xbnd : एक चार-बाइट तर्क को स्वीकार करता है - एक टनल कनेक्शन बनाते समय इस पते के साथ क्लाइंट सॉकेट के बाइंड ऑपरेशन के लिए उपयोग किया जाने वाला आईपी एड्रेस।

लिनक्स / Ebury लेखक दुर्भावनापूर्ण कोड की बाइनरी फ़ाइल में संस्करण संख्याओं को एम्बेड करने के अभ्यास का उपयोग करते हैं। यह ऑपरेटरों को इस बात की जानकारी देने की अनुमति देता है कि उनके मैलवेयर का कौन सा संस्करण समझौता प्रणाली पर स्थापित है। दूसरी ओर, यह रिसीवर को संस्करण की घटनाओं के कालक्रम को समझने और नमूनों को सही ढंग से क्रमबद्ध करने में मदद करता है।

उदाहरण के लिए, संस्करण 1.3.2 के साथ शुरू, लिनक्स / ईबरी दूरस्थ सर्वर को कोई सूचना नहीं भेजेगा यदि पैकेट स्वीकार करने के लिए नेटवर्क इंटरफ़ेस प्रोमिसस मोड में है। एक समान इंटरफ़ेस मोड का उपयोग किया जाता है, उदाहरण के लिए, जब tcpdump जैसे उपकरण नेटवर्क से नेटवर्क ट्रैफ़िक कैप्चर करते हैं। यह संभव है कि मैलवेयर के लेखकों ने लिनक्स / ईबरी के बारे में cPanel के एक लेख के जवाब में इस सुविधा को जोड़ा, जिसमें DNS प्रश्नों को ट्रैक करने के लिए tcpdump टूल लॉन्च करने और गोपनीय खाता डेटा (सिस्टमाइज इंडिकेटर) चोरी करने के प्रयासों को रिकॉर्ड करने का सुझाव दिया गया।

लिनक्स / Ebury SSH पिछले दरवाजे प्रणाली की उपस्थिति को सत्यापित करने के दो तरीके हैं। सबसे आसान तरीका दुर्भावनापूर्ण कोड के लिए SSH बाइनरी फ़ाइलों की जांच करना है। एक अधिक जटिल तरीका साझा स्मृति खंडों का अध्ययन करना है जो मैलवेयर द्वारा उपयोग किए जाते हैं।

Ssh -G कमांड में एक क्लीन सिस्टम और एक Linux / Ebury संक्रमित सिस्टम पर अलग-अलग व्यवहार होते हैं। एक असंक्रमित सर्वर पर, आउटपुट (stderr में) इस तरह दिखेगा:

ssh: अवैध विकल्प - जी

संक्रमित सर्वर पर, एप्लिकेशन का उपयोग करने के नियमों के बारे में एक "उपयोग" संदेश प्रदर्शित किया जाएगा। निम्नलिखित आदेश का उपयोग समझौते के एक तथ्य का पता लगाने के लिए किया जा सकता है:

$ ssh -G 2> & 1 | grep -e अवैध -e अज्ञात> / dev / null && इको "सिस्टम क्लीन" || इको "सिस्टम संक्रमित"

Linux / Ebury POSIX साझा मेमोरी सेगमेंट पर निर्भर करता है, जो कि इंटर-प्रोसेस कम्युनिकेशन (IPC) के लिए उपयोग किया जाता है। दुर्भावनापूर्ण प्रोग्राम का वर्तमान संस्करण 3 एमबी से बड़े मेमोरी वाले बड़े सेगमेंट का उपयोग करता है, जो उनके लिए व्यापक एक्सेस अधिकारों के साथ है, जो आपको वहां डेटा लिखने और उन्हें वहां से पढ़ने के लिए अनुमति देता है (आर / डब्ल्यू)। अन्य वैध प्रक्रियाएं पढ़ने और लिखने की अनुमति के साथ अपने स्वयं के साझा मेमोरी सेगमेंट भी बना सकती हैं। इस पद्धति का उपयोग करके पिछले दरवाजे की उपस्थिति की जांच करते समय, सुनिश्चित करें कि खंड sshd प्रक्रिया द्वारा बनाया गया था (नीचे दिखाया गया है)।

आप निम्न कमांड को रूट से चलाकर विस्तृत पहुँच अधिकारों के साथ साझा मेमोरी के एक बड़े सेगमेंट का पता लगा सकते हैं:

# ipcs -m
- साझा मेमोरी सेगमेंट - प्रमुख shmid स्वामी बाइट्स nattch की अनुमति देता है
0x00000000 0 रूट 644 80 2
0x00000000 32769 रूट 644 16384 2
0x00000000 65538 रूट 644 280 2
0x000010e0 465272836 रूट 666 3282312 0
sshd प्रक्रिया की जाँच करने के लिए:
# ps aux | grep रूट 11531 0.0 0.0 0.0 103,284 828 pts / 0 S + 16:40 0:00 grep 15029
रूट 15029 0.0 0.0 66300 1204? Ss Jan26 0:00 / usr / sbin / sshd

यह देखा जा सकता है कि sshd प्रक्रिया 3 एमबी (3,145,728 बाइट्स) से अधिक व्यापक एक्सेस राइट (666) के साथ साझा मेमोरी सेगमेंट का उपयोग करती है। एक समान संकेतक एक सिस्टम संक्रमण को इंगित करता है।

नीचे कुछ छोटे स्नॉर्ट नियम दिए गए हैं।ताकि आप बड़े नेटवर्क पर इस दुर्भावनापूर्ण प्रोग्राम की गतिविधि को आसानी से निर्धारित कर सकें। पहला नियम SSH क्लाइंट प्रोटोकॉल फ़ील्ड का पता लगाने के लिए उपयोग किया जाता है, जिसका उपयोग ऑपरेटरों द्वारा पिछले दरवाजे से कनेक्ट करते समय किया जाता है। कोई भी होस्ट जो SSH पोर्ट के माध्यम से पिछले दरवाजे से जुड़ने की कोशिश करता है, इस नियम से पता लगाया जाएगा।

अलर्ट tcp $ EXTERNAL_NET किसी भी -> $ HOME_NET $ SSH_PORTS (संदेश: "लिनक्स / Ebury SSH पिछले दरवाजे की गतिविधि"; सामग्री: "SSH-2.0"; isdataat: 20, रिश्तेदार; pcre: "/ ^ SSH-2 \ _०- [] 0-9a-f] {22,46} / sm "; संदर्भ: url, http: //www.welivesecurity.com/2014/02/21/an-in-depth-analysis-of-linuxebury/; क्लैसेप: ट्रोजन-एक्टिविटी; सिड: 1000001; रेव: 1;)

निम्नलिखित स्नॉर्ट नियम का उपयोग किसी संक्रमित सर्वर का पता लगाने के लिए किया जा सकता है, जिसके माध्यम से चोरी का डेटा भेजा जाता है, देखेंCERT-बुंद।

अलर्ट udp $ HOME_NET किसी भी -> $ EXTERNAL_NET 53 (संदेश: "लिनक्स / Ebury SSH पिछले दरवाजे डेटा बहिष्कार"; सामग्री: "12 0b 01 00 00 01 |"; गहराई: 6; pcre: "/ ^ \ x12 \ x0b \" x01 \ x00 \ x00 \ x01 [\ x00] {6}। [a-f0-9] {6,} (([\ x01 | \ x02 | \ x03] \ d {1,3}) 4}} | \ x03 :: 1) \ x00 \ x00 \ x01 / Bs "; संदर्भ: url, http: //www.welivesecurity.com/2014/02/21/an-in-depth-analysis-of-linclebury/; संदर्भ; : url, https: //www.cert-bund.de/ebury-faq; classtype: ajan-activity; sid: 1000002; Rev: 1;)

निष्कर्ष

लिनक्स / Ebury मैलवेयर निश्चित रूप से कई दिलचस्प विशेषताओं के साथ एक जटिल खतरा है, जैसे कि निष्पादन योग्य फ़ाइल के विभिन्न कार्यों को रोकना, POSIX अपवाद हैंडलर का उपयोग करना, और सिस्टम पर अपनी उपस्थिति को मुखौटा करने के लिए विभिन्न तरीके। हमारे द्वारा प्राप्त आंकड़ों के आधार पर, यह पता लगाया जा सकता है कि वर्तमान में हजारों सिस्टम इस दुर्भावनापूर्ण कोड से संक्रमित हैं। ऑपरेटरों द्वारा आयोजित चोरी की साख का उपयोग करके साइबर अपराधियों द्वारा लिनक्स / ईबरी वितरित किया जा रहा है। ऐसे डेटा को हाथ में रखने के बाद, इस दुर्भावनापूर्ण प्रोग्राम की रिमोट इंस्टॉलेशन के लिए सॉफ़्टवेयर या OS में किसी 0day भेद्यता का उपयोग करने की आवश्यकता नहीं है। हालांकि यह स्पष्ट नहीं है कि हमलावर सिस्टम खातों के प्रारंभिक डेटा से कहां आए थे,जिसके साथ प्रारंभिक संक्रमण शुरू हुआ।