FontOnLake: Bisher unbekannte Schadsoftware-Familie, die gen Linux abzielt

ESET-Forscher nach sich ziehen eine bisher unbekannte Schadsoftware-Familie entdeckt, die benutzerdefinierte und gut gestaltete Module verwendet und gen Systeme abzielt, gen denen Linux umgesetzt wird. Module, die von dieser Schadsoftware-Familie, die wir FontOnLake nennen, verwendet werden, werden ständig weiterentwickelt und eröffnen den Betreibern Fernzugriff, vereinen Anmeldeinformationen und fungieren qua Proxy-Server. In diesem Blogpost fassen wir die in unserem Whitepaper veröffentlichten Ergebnisse zusammen.

Um Information (z. B. SSH-Anmeldeinformationen) zu vereinen oder andere bösartige Aktivitäten durchzuführen, verwendet welche Schadsoftware-Familie modifizierte legitime Binärdateien, die zugeschnitten sind, um weitere Komponenten zu laden. Um seine Existenz zu verbergen, wird die Präsenz von FontOnLake immer von einem Rootkit begleitet. Welche Binärdateien wie Katze, töten oder sshd werden vielmals gen Linux-Systemen verwendet und können zusätzlich qua Persistenzmechanismus fungieren.

Die hinterhältige Natur welcher Tools von FontOnLake in Komposition mit fortschrittlichem Konzept und weniger bedeutend Verbreitung lassen darauf schließen, dass sie im Zusammenhang gezielten Angriffen eingesetzt werden.

Die erste bekannte File dieser Schadsoftware-Familie erschien im vergangenen Mai gen VirusTotal und weitere Beispiele wurden im Laufe des Jahres hochgeladen. Welcher Standort des Kohlenstoff&Kohlenstoff-Servers und die Länder, aus denen die Proben gen VirusTotal hochgeladen wurden, weisen notfalls darauf hin, dass zu den Zielen Südostasien gehört.

Wir Vertrauen schenken, dass die Betreiber von FontOnLake vornehmlich vorsichtig sind, da sozusagen leer beobachteten Beispiele einzigartige Kohlenstoff&Kohlenstoff-Server mit unterschiedlichen, nicht standardmäßigen Ports verwenden. Die Autoren verwenden hauptsächlich Kohlenstoff/Kohlenstoff++ und verschiedene Bibliotheken von Drittanbietern wie Boost, Poco oder Protobuf. Keiner welcher Kohlenstoff&Kohlenstoff-Server, die in gen VirusTotal hochgeladenen Beispielen verwendet wurden, war zum Zeitpunkt des Schreibens angeschaltet – welches darauf hindeutet, dass sie aufgrund des Hochladens hätten deaktiviert werden können.

Bekanntschaften Komponenten von FontOnLake

Die derzeit bekannten Komponenten von FontOnLake lassen sich in drei folgende Gruppen teilen, die miteinander interagieren:

• Trojanisierte Anwendungen – modifizierte legitime Binärdateien, die zugeschnitten sind, um weitere Komponenten zu laden, Information zu vereinen oder andere bösartige Aktivitäten durchzuführen.
• Hintertüren – Benutzermodus-Komponenten, die qua Hauptkommunikationspunkt zum Besten von die Betreiber fungieren.
• Rootkits – Kernel-Modus-Komponenten, die ihre Dasein meist verbergen und verschleiern, im Zusammenhang Updates helfen oder Fallback-Backdoors bewilligen.

Trojanisierte Anwendungen

Wir nach sich ziehen mehrere trojanisierte Anwendungen entdeckt; Sie werden hauptsächlich verwendet, um benutzerdefinierte Backdoor- oder Rootkit-Module zu laden. Darüber hinaus können sie wenn schon sensible Information vereinen. Patches welcher Anwendungen werden sehr wahrscheinlich gen Quellcodeebene angewendet, welches darauf hindeutet, dass die Anwendungen kompiliert und die ursprünglichen ersetzt worden sein zu tun sein.

Nicht mehr da trojanisierten Dateien sind Standard-Linux-Dienstprogramme und fungieren jeweils qua Persistenzmethode, da sie normalerweise beim Systemstart umgesetzt werden. Welcher ursprüngliche Weg, gen dem welche trojanisierten Anwendungen zu ihren Opfern gelangen, ist nicht publiziert.

Die Kommunikation einer trojanisierten Gebrauch mit ihrem Rootkit läuft via eine virtuelle File, die vom Rootkit erstellt und verwaltet wird. Wie in Fotografie 1 dargestellt, können Information aus welcher/in die virtuelle File gelesen/geschrieben und gen Antrag des Bedieners mit ihrer Hintertürkomponente exportiert werden.

Fotografie 1. Wechselbeziehung welcher Komponenten von FontOnLake

Hintertüren

Die drei verschiedenen Backdoors, die wir entdeckt nach sich ziehen, sind in Kohlenstoff++ geschrieben und leer verwenden, wenn wenn schon gen leichtgewichtig unterschiedliche Weise, dieselbe Asio-Bibliothek von Boost zum Besten von asynchrone Netzwerke und Low-Level-I/O. Poco, Protobuf und Funktionen von STL wie Smart Zeigergerät werden ebenfalls verwendet. Welches im Zusammenhang Schadsoftware selten ist, ist die Tatsache, dass welche Hintertüren wenn schon eine Schlange von Software-Designmustern herausstellen.

Die Funktionsvielfalt, die sie leer verbinden nach sich ziehen, besteht darin, dass jeder die gesammelten Anmeldeinformationen und seinen Bash-Befehlsverlauf in seinen Kohlenstoff&Kohlenstoff exfiltriert.

In Anbetracht einiger überlappender Funktionen werden welche verschiedenen Hintertüren sehr wahrscheinlich nicht zusammen gen einem kompromittierten System verwendet.

Nicht mehr da Hintertüren verwenden zusätzlich benutzerdefinierte Heartbeat-Befehle, die regelmäßig gesendet und empfangen werden, um die Verpflichtung aufrechtzuerhalten.

Die Gesamtfunktionalität dieser Hintertüren besteht aus den folgenden Methoden:

• Exfiltrieren welcher gesammelten Information
• Erstellen einer Kontaktbolzen zwischen einem benutzerdefinierten SSH-Server, welcher lokal umgesetzt wird, und seinem Kohlenstoff&Kohlenstoff
• Behauen von Dateien (z. B. Uploaden/Herunterladen, Erstellen/Löschen, Verzeichnisauflistung, Ändern von Attributen usw.)
• Qua Stellvertreter fungieren
• Darstellen beliebiger Shell-Befehle und Pythonschlange-Skripte

Rootkit

Wir entdeckten in jeder welcher drei Hintertüren zwei nicht ins Gewicht fallend unterschiedliche Versionen des Rootkits, die jeweils nur einzeln verwendet wurden. Es gibt erhebliche Unterschiede zwischen diesen beiden Rootkits; manche Aspekte von ihnen überschneiden sich jedoch. Obwohl die Rootkit-Versionen gen dem Open-Source-Projekt suterusu basieren, enthalten sie manche welcher exklusiven, benutzerdefinierten Techniken von FontOnLake.

Die kombinierte Funktionsvielfalt welcher beiden von uns entdeckten Versionen des Rootkits umfasst:

• Prozess ausblenden
• File ausblenden
• Sich verstecken
• Ausblenden von Netzwerkverbindungen
• Offenlegung welcher gesammelten Anmeldeinformationen seiner Hintertür
• Portweiterleitung machen
• Empfang von magischen Paketen (Magische Pakete sind speziell gestaltete Pakete, die dies Rootkit anweisen können, eine andere Hintertür herunterzuladen und auszuführen)

Nachher unserer Feststellung im Zusammenhang welcher Komplettierung unseres Whitepapers zu diesem Themenkreis nach sich ziehen Lieferant wie Tencent Security Response Center, Avast und Lacework Labs veröffentlichten ihre Forschungsergebnisse zu offenkundig welcher gleichen Schadsoftware.

Nicht mehr da bekannten Komponenten von FontOnLake werden von ESET-Produkten qua Linux/FontOnLake erkannt. Unternehmen oder Einzelpersonen, die ihre Linux-Endpunkte oder -Server vor dieser Gefahr schützen möchten, sollten ein mehrschichtiges Sicherheitsprodukt und eine aktualisierte Version ihrer Linux-Distribution verwenden. Wenige welcher von uns analysierten Beispiele wurden speziell zum Besten von CentOS und Debian erstellt.

In welcher Vergangenheit nach sich ziehen wir eine Operation beschrieben, die bestimmte Verhaltensmuster mit FontOnLake teilte; sein Umfang und seine Wirkung waren jedoch viel größer. Wir nach sich ziehen es Operation Windigo getauft und Sie können weitere Informationen dazu in diesem Whitepaper und diesem Folge-Blogpost finden.

Weitere technische Einzelheiten zu FontOnLake finden Sie in unserem umfangreichen Whitepaper.

IoCs

Proben

Kohlenstoff&Cs

Genug damit Proben:

47.107.60[.]212
47.112.197[.]119
156.238.111[.]174
172.96.231[.]69
hm2.yrnykx[.]com
ywbgrcrupasdiqxknwgceatlnbvmezti[.]com
yhgrffndvzbtoilmundkmvbaxrjtqsew[.]com
wcmbqxzeuopnvyfmhkstaretfciywdrl[.]Name
ruciplbrxwjscyhtapvlfskoqqgnxevw[.]Name
pdjwebrfgdyzljmwtxcoyomapxtzchvn[.]com
nfcomizsdseqiomzqrxwvtprxbljkpgd[.]Name
hkxpqdtgsucylodaejmzmtnkpfvojabe[.]com
etzndtcvqvyxajpcgwkzsoweaubilflh[.]com
esnoptdkkiirzewlpgmccbwuynvxjumf[.]Name
ekubhtlgnjndrmjbsqitdvvewcgzpacy[.]Name

Vom internetweiten Scan:

27.102.130[.]63

Dateinamen

/lib/modules/%VARIABLE%/kernel/drivers/input/misc/ati_remote3.ko
/etc/sysconfig/modules/ati_remote3.modules
/tmp/.tmp_%RANDOM%

Virtuelle Dateinamen

/proc/.dot3
/proc/.inl

MITRE ATT&CK-Techniken

Welche Tabelle wurde mit Version 9 des ATT&CK-Frameworks erstellt.