Backdoor BPFdoor permite acces complet la sistemele Linux și Solaris
Cercetătorii de securitate au descoperit un program malware chinezesc BPFdoor care vizează sistemele Linux și Solaris.
Potrivit cercetătorilor, malware-ul, care poartă numele de BPFdoor , poate ocoli sistemele de firewall și nu necesită deschiderea de noi porturi pentru comunicare.
A passive backdoor
BPFdoor poate amesteca traficul rău intenționat în traficul legitim fără probleme, ceea ce îl face dificil de detectat
Programul malware BPFdoor utilizează un sniffer Berkeley Packet Filter (BPF) pentru a vedea tot traficul de rețea și a trimite pachete. Malware-ul în sine este definit ca o ușă pasivă; poate asculta pe porturi pentru pachetele primite de la una/mai multe gazde. Este poziționat la un nivel scăzut, ceea ce îl face nedetectabil de aplicațiile firewall.
Operatorii BPFdoor pot controla sistemul țintă folosind o parolă magică. BPFdoor poate inspecta pachetele ICMP, UDP și TCP pentru anumite valori de date, precum și parola de la doar UDP și TCP. Malware-ul este capabil să monitorizeze orice porturi, chiar dacă acestea sunt utilizate de alte servicii.
Când sistemul infectat primește datele magice și parola potrivite, malware-ul se activează și devine o ușă în spate care permite executarea comenzilor de la distanță după modificarea regulilor iptables pentru a ascunde comunicațiile sub aplicațiile firewall.
În timp ce acestea se întâmplă, își schimbă și numele binar cu unul aleatoriu din lista de mai jos pentru evaziune:
- /sbin/udevd -d
- /sbin/mingetty /dev/tty7
- /usr/sbin/console-kit-daemon –no-daemon
- hald-addon-acpi: listening on acpi kernel interface /proc/acpi/event
- dbus-daemon –system
- hald-runner
- pickup -l -t fifo -u
- avahi-daemon: chroot helper
- /sbin/auditd -n
- /usr/lib/systemd/systemd-journald
Chiar înainte ca malware-ul să ruleze, acesta se redenumește în /dev/shm/kdmtmpflush . Când munca sa este terminată, schimbă data binarului la 30 octombrie 2008 înainte de a-l șterge. Se crede că motivul pentru modificarea datei rămâne ascuns atunci când noile fișiere din sistem sunt verificate dacă procesul de ștergere eșuează cumva.
Detectat și pe serverele Speedtest
Malware-ul este actualizat constant pentru a schimba numele proceselor, fișierelor și comenzilor; ceea ce face și mai greu de detectat. Potrivit lui Kevin Beaumont de la DoublePulsar, activitățile BPFdoor au fost detectate în SUA, Coreea de Sud, Hong Kong, Turcia, India, Vietnam, Myanmar și rețelele de organizații ale altor țări. Malware-ul este descoperit și pe unele servere Speedtest care rulau software cu sursă închisă.
Cercetătorii de la Sandfly Security afirmă că caracteristica de redirecționare a BPFdoor este unică și este foarte periculoasă, deoarece traficul rău intenționat se amestecă fără probleme în traficul legitim; făcând mult mai greu de detectat.
Comentarii
Trimiteți un comentariu