Yeni keşfedilen bir Linux kötü amaçlı yazılım, geride kalan Linux sistemlerinden gizlice bilgi çalmak ve makinedeki tüm çalışan işlemleri enfekte etmek için kullanılıyor.
Intezer Labs Güvenlik Araştırmacıları tarafından yörünge olarak adlandırılan bu kötü amaçlı yazılım, uzlaşmış cihazlardaki LD_PRELOAD ortam değişkenini değiştirerek işlev çağrılarını engellemek için paylaşılan kütüphaneleri kaçırır.
Çıkarma girişimlerini engellemek için iki farklı yöntem kullanarak kalıcılık kazanabilirken, yörünge, shim-bellekte kopyalandığında uçucu bir implant olarak da konuşlandırılabilir.
Ayrıca, algılamadan kaçınmak, süreç davranışını kontrol etmek, yeni süreçleri enfekte ederek kalıcılığı korumak ve varlığını ortaya çıkaracak ağ etkinliğini gizlemek için çeşitli işlevleri bağlayabilir.
Örneğin, bir çalışma sürecine enjekte ettikten sonra, yörünge çıktısını, neyin kaydedildiğini filtreleyerek varlığının izlerini gizlemek için manipüle edebilir.
Intezer Labs güvenlik araştırmacısı Nicole Fishbein, "Kötü amaçlı yazılım, gelişmiş kaçınma tekniklerini uygular ve anahtar işlevleri kanca yaparak makinede kalıcılık kazanır, tehdit aktörlerine SSH üzerinde uzaktan erişim özellikleri, hasat kimlik bilgileri ve TTY komutlarını günlüklendirir."
"Kötü amaçlı yazılım kurulduktan sonra, makinede çalışan yeni işlemler de dahil olmak üzere tüm çalışan işlemleri enfekte edecektir."
Orbit'in damlalık ve yük bileşenleri, kötü amaçlı yazılım ilk tespit edildiğinde antivirüs motorları tarafından tamamen tespit edilmemiş olsa da, bazı kötü amaçlı yazılım satıcıları, müşterileri varlığı konusunda uyarmak için ürünlerini güncelledi.
Yörünge, son zamanlarda ortaya çıkan ve tam olarak uzlaşma ve arka kapı cihazları için benzer yaklaşımları kullanabilen ilk yüksek düzeyde Linux kötü amaçlı yazılım değildir.
Symbiote ayrıca LD_PRELOAD yönergesini, kendisini çalışma süreçlerine yüklemek, sistem çapında bir parazit olarak hareket etmek ve enfeksiyon belirtisi bırakmamak için kullanır.
Linux sistemlerini hedefleyen yakın zamanda benekli bir kötü amaçlı yazılım olan BPFDoor, beş yıldan fazla bir süredir tespit edilmemesine yardımcı olan Common Linux Daemons adlarını kullanarak kamufle eder.
Her iki suş da, iletişim kanallarını güvenlik araçlarından gizlemeye yardımcı olan ağ trafiğini izlemek ve değiştirmek için BPF (Berkeley Paket Filtresi) kanca işlevselliği kullanır.
Syslogk olarak adlandırılan ve geçen ay Avast araştırmacıları tarafından tanıtılan ağır geliştirme altında bir rootkit olan üçüncü bir Linux kötü amaçlı yazılım, kendi modüllerini Linux çekirdeğine zorlayabilir ve algılamadan kaçınmak için dizinleri ve ağ trafiğini gizleyebilir.
Son zamanlarda Linux'u hedefleyen ilk veya en orijinal kötü amaçlı yazılım suşu olmasa da, yörünge hala onu diğer tehditlerden ayıran yeteneklerden geliyor.
Fishbein, "Bu kötü amaçlı yazılım, farklı komutlardan ve yardımcı programlardan bilgileri çalar ve bunları makinedeki belirli dosyalarda depolar. Ayrıca, daha önce görülmeyen bir şey, veri depolamak için geniş bir dosya kullanımı vardır."
"Bu kötü amaçlı yazılımı özellikle ilginç kılan şey, kurban makinesindeki kütüphanelerin neredeyse hermetik kancasıdır, bu da kötü amaçlı yazılımın kalıcılık kazanmasını ve bilgi çalırken ve SSH arka kapıyı ayarlarken algılamadan kaçmasını sağlar."
Xfiles Info-Renting Malware, Follina Teslimatı için Destek Katar
YENİ YTSTEALER KAYNAK YAZILIĞI YOUTUBE Creators'ın Hesaplarını Çalar
Raccoon Stealer, şifrelerinizi çalmak için yeni bir sürümle geri döndü
Yeni Syslogk Linux rootkit, arka kapıyı tetiklemek için sihirli paketler kullanıyor
Eternity Malware kiti stealer, madenci, solucan, fidye yazılımı araçları sunar
Kaynak: Bleeping Computer