Így leplezi magát egy linuxos trójai

​Egy már korábbról ismert, linuxos trójai program új trükkel rukkolt elő, aminek következtében jóval nehezebbé vált a detektálása.
 

2020 májusában a MalwareHunterTeam és a Trend Micro biztonsági kutatói egy olyan kártékony programra lettek figyelmesek, amely Linux alapokon kezdett kriptobányászatba. Méghozzá nem is akármilyen módon, ugyanis a kártevő internet felöl elérhető, nem megfelelően konfigurált Docker konténereket szemelt ki magának. Ha pedig egy sebezhető rendszerre akadt, akkor azon egy új konténer létrehozásával elkezdte az erőforrásokat felemészteni azáltal, hogy Monero bányászatba fogott.
 
A Black-T névre keresztelt kártékony program az elmúlt hónapban folyamatosan fejlődött. A napokban felfedezett legújabb variánsa hasonló célokat szolgál, mint az elődjei, de mindezt úgy teszi, hogy jóval nehezebben váljon detektálhatóvá.
 
Az AT&T Alien Labs biztonsági kutatói arról számoltak be, hogy a Black-T trójai egy nyílt forráskódú eszköz segítségével rejti el a folyamatait. Jelesül a Githubról is letölthető libprocesshider megoldást használja, aminek révén a folyamatait leplezi, így azok egyebek mellett a ps és lsof parancsokkal elvégzett lekérdezések során sem válnak láthatóvá.
 
A trójai legutóbbi variánsa azonban nem kizárólag a rejtőzködés terén fejlődött, hanem a funkcionalitása is kibővült. Így a Monero bányászat mellett alkalmas egyebek mellett az alábbi tevékenységek elvégzésére is:

• DNS-konfiguráció manipulálása
• állandó jelenlét biztosítása systemd révén
• a különféle összetevőinek szolgáltatásként való regisztrációja
• IRC-bot konfiguráció letöltése
• adatszivárogtatás.

 
A Black-T viszonylag hatékonyan képes elrejteni a saját nyomait. Nem kizárólag a saját állományainak törlésére alkalmas, hanem a korábbi műveleteinek utólagos vizsgálatát is meg tudja nehezíteni. Egyebek mellett a bash history kiürítésére is ügyel.
 
A trójai elleni védekezés során az általános vírusvédelmi gyakorlatok alkalmazása mellett fontos a konténer alapú rendszerek fokozott védelme, és azok biztonsági szempontból is megfelelő konfigurálása.