ምስክርነቶችን ለመደበቅ እና ለመስረቅ የተራቀቁ ቴክኒኮችን የሚጠቀም የሊኑክስ ማልዌር ሲምባዮት ያድርጉ

ብዙ ተጠቃሚዎች ላይ የተመሰረተ ስርዓተ ክወናዎች ሊኑክስ ብዙውን ጊዜ "በሊኑክስ ውስጥ ቫይረሶች የሉም" የሚል የተሳሳተ ግንዛቤ አላቸው. እና በሊኑክስ ውስጥ ስለ "ቫይረስ" ማወቅ "ታቦ" ለመናገር ስለሆነ ለተመረጠው ስርጭት ያላቸውን ፍቅር እና የአስተሳሰብ ምክንያቱ ግልጽ ነው, የበለጠ ደህንነትን ይጠቅሳሉ.

እና ባለፉት አመታት, ይህ ተለውጧል.በሊኑክስ ውስጥ ያሉ የማልዌር ማወቂያ ዜናዎች መደበቅ መቻላቸው እና ከሁሉም በላይ በተበከለው ስርዓት ውስጥ መገኘታቸውን ለማስቀጠል ምን ያህል የተራቀቁ እንደሆኑ ብዙ ጊዜ እና የበለጠ መስማት ስለጀመረ ነው።

እና ስለዚህ ጉዳይ የመናገር እውነታ ምክንያቱም ከጥቂት ቀናት በፊት የማልዌር አይነት ተገኘ እና የሚያስደንቀው ነገር የሊኑክስ ስርዓቶችን በመበከል እና ምስክርነቶችን ለመደበቅ እና ለመስረቅ የተራቀቁ ቴክኒኮችን ይጠቀማል።

ይህንን ማልዌር ያገኙት ሰራተኞች እ.ኤ.አ የብላክቤሪ ተመራማሪዎች እና “Symbiote” ብለው የሰየሙት። ከዚህ ቀደም ሊታወቅ የማይችል, በተበከሉ ማሽኖች ላይ ጉዳት ለማድረስ ሌሎች የሩጫ ሂደቶችን መበከል ስለሚያስፈልገው ጥገኛ ተውሳክ ይሠራል.

ሲምባዮት፣ ለመጀመሪያ ጊዜ የተገኘው በኖቬምበር 2021፣ መጀመሪያ ላይ በላቲን አሜሪካ ያለውን የፋይናንሺያል ሴክተር ኢላማ ለማድረግ የተጻፈ ነው።. ከተሳካ ኢንፌክሽን በኋላ ሲምባዮት እራሱን እና ሌሎች የተዘረጋውን ማልዌር ይደብቃል፣ ይህም ኢንፌክሽኑን ለመለየት አስቸጋሪ ያደርገዋል።

ተንኮል አዘል ዌር የሊኑክስ ስርዓቶችን ማነጣጠር አዲስ አይደለም፣ ነገር ግን ሲምባዮት የሚጠቀሙባቸው ስውር ቴክኒኮች ጎልቶ እንዲታይ ያደርጉታል። ማገናኛው ማልዌርን በLD_PRELOAD መመሪያ በኩል ይጭናል፣ይህም ከማናቸውም የጋራ ነገሮች በፊት እንዲጭን ያስችለዋል። መጀመሪያ የተጫነ ስለሆነ ለመተግበሪያው የተጫኑትን ሌሎች የቤተ-መጻህፍት ፋይሎችን " ከውጭ የሚመጡትን ጠለፋዎች" ሊያደርግ ይችላል. ሲምቢዮት በማሽኑ ላይ መገኘቱን ለመደበቅ ይህንን ይጠቀማል።

ተመራማሪዎቹ ሲያጠቃልሉ "ማልዌር የሚሰራው በተጠቃሚ ደረጃ ሩትኪት በመሆኑ ኢንፌክሽንን መለየት ከባድ ሊሆን ይችላል።" "የአውታረ መረብ ቴሌሜትሪ ያልተለመዱ የዲ ኤን ኤስ ጥያቄዎችን እና እንደ ጸረ-ቫይረስ እና የመጨረሻ ነጥብ ማወቂያ ያሉ የደህንነት መሳሪያዎችን ለማግኘት ጥቅም ላይ ሊውል ይችላል እና ምላሽ በተጠቃሚ rootkits" እንዳልተበከሉ ለማረጋገጥ በስታቲስቲክስ የተገናኘ መሆን አለበት።"

ሲምባዮት አንዴ ከተበከለ ሁሉም ሂደቶች ፣ ምስክርነቶችን የመሰብሰብ ችሎታ ያለው የማጥቃት rootkit ተግባርን ይሰጣል እና የርቀት መዳረሻ ችሎታ.

አስደሳች የሲምባዮት ቴክኒካል ገጽታ የበርክሌይ ፓኬት ማጣሪያ (BPF) ምርጫ ተግባር ነው። ሲምባዮት BPFን የተጠቀመ የመጀመሪያው ሊኑክስ ማልዌር አይደለም። ለምሳሌ፣ ለእኩል ቡድን የተሰጠ የላቀ የኋላ በር BPF ን ለድብቅ ግንኙነቶች ተጠቅሟል። ነገር ግን፣ ሲምባዮት በተበከለ ማሽን ላይ ተንኮል አዘል የአውታረ መረብ ትራፊክን ለመደበቅ BPF ይጠቀማል።

አንድ አስተዳዳሪ በተበከለው ማሽን ላይ የፓኬት ቀረጻ መሳሪያን ሲጀምር BPF ባይት ኮድ ወደ ከርነል ውስጥ ይገባል ይህም የሚያዙትን እሽጎች የሚገልጽ ነው። በዚህ ሂደት ሲምባዮት በመጀመሪያ ባይትኮድ በመጨመር የኔትወርክ ትራፊክን ለማጣራት የፓኬት ቀረጻ ሶፍትዌር እንዲያዩት ይፈልጋሉ።

ሲምባዮት የተለያዩ ቴክኒኮችን በመጠቀም የኔትወርክ እንቅስቃሴዎን መደበቅ ይችላል። ይህ ሽፋን ማልዌር ምስክርነቶችን እንዲያገኝ እና ለአደጋው ተዋናይ የርቀት መዳረሻን ለማቅረብ ፍጹም ነው።

ተመራማሪዎቹ ለመለየት በጣም አስቸጋሪ የሆነበትን ምክንያት ያብራራሉ-

አንዴ ማልዌር ማሽንን ከያዘ፣ ራሱን ይደብቃል፣ ከአጥቂው ከሚጠቀምባቸው ማልዌሮች ጋር ራሱን ይደብቃል፣ ይህም ኢንፌክሽኑን ለመለየት በጣም አስቸጋሪ ያደርገዋል። ተንኮል አዘል ዌር ሁሉንም ፋይሎች፣ ሂደቶች እና የአውታረ መረብ ቅርሶች ስለሚደብቅ የተበከለ ማሽን የቀጥታ የፎረንሲክ ቅኝት ምንም ላያሳይ ይችላል። ከ rootkit አቅም በተጨማሪ ማልዌር አስጊ ተዋናዩ እንደማንኛውም ተጠቃሚ በማሽኑ ላይ ሃርድ ኮድ ያለው የይለፍ ቃል ይዞ እንዲገባ እና ትእዛዞችን ከፍ ባለ ልዩ መብት እንዲፈጽም የሚያስችል የጀርባ በር ይሰጣል።

እጅግ በጣም አስቸጋሪ ስለሆነ የሲምባዮት ኢንፌክሽን "በራዳር ስር መብረር" ይችላል. በምርመራችን፣ ሲምባዮት በከፍተኛ ደረጃ ለተጠቁ ወይም ለትላልቅ ጥቃቶች ጥቅም ላይ መዋሉን ለማረጋገጥ በቂ ማስረጃ አላገኘንም።

በመጨረሻ ስለዚህ ጉዳይ የበለጠ ለማወቅ ፍላጎት ካለዎት, በ ውስጥ ያሉትን ዝርዝሮች ማረጋገጥ ይችላሉ የሚከተለውን አገናኝ.