Главная / Новости / Новости отрасли / «Доктор Веб» исследовал семейство опасных Linux-троянцев

«Доктор Веб» исследовал семейство опасных Linux-троянцев«Доктор Веб» исследовал семейство опасных Linux-троянцев

27 сентября 2016 года

Аналитики «Доктор Веб» исследовали троянца Linux.Mirai, который используется для организации DDoS-атак. Более ранние модификации этой вредоносной программы уже были изучены, поэтому в обновленной версии Linux.Mirai специалисты смогли найти признаки предыдущих версий и даже характерные черты троянцев других семейств.

Первая версия вредоносной программы для Linux, которая впоследствии получила название Linux.Mirai, появилась еще в мае 2016 года и была добавлена в вирусные базы Dr.Web под именем Linux.DDoS.87. Этот троянец, способный работать на устройствах с архитектурой х86, ARM, MIPS, SPARC, SH-4 и M68K, предназначен для организации атак на отказ в обслуживании, то есть DDoS-атак.

Linux.DDoS.87 содержит в своем коде ряд ошибок, которые были устранены вирусописателями в последующих версиях. Этот троянец имеет определенное сходство с вредоносными программами семейства Linux.BackDoor.Fgt, об одном из представителей которого мы уже писали в ноябре 2014 года. После запуска на зараженном устройстве Linux.DDoS.87 ищет в памяти процессы других троянских программ и прекращает их выполнение. Чтобы избежать случайной остановки собственного процесса, троянец создает в своей папке файл с именем .shinigami и периодически проверяет его наличие. Затем Linux.DDoS.87 пытается установить соединение со своим управляющим сервером для получения дальнейших инструкций. На сервер отправляется идентификатор, определяющий архитектуру инфицированного компьютера, и сведения о MAC-адресе сетевой карты.

По команде злоумышленников Linux.DDoS.87 способен выполнять следующие виды DDoS-атак:

  • UDP flood;
  • UDP flood over GRE;
  • DNS flood;
  • TCP flood (несколько разновидностей);
  • HTTP flood.

Максимальный срок непрерывной работы Linux.DDoS.87 на инфицированной машине составляет одну неделю, по истечении которой троянец завершает собственный процесс.

В начале августа 2016 года вирусные аналитики компании «Доктор Веб» обнаружили новую версию этого опасного троянца, получившую наименование Linux.DDoS.89. Эта вредоносная программа имеет множество общих черт со своей предшественницей, однако прослеживаются и характерные отличия от Linux.DDoS.87. Например, в обновленной версии изменился порядок действий при запуске троянца. Механизм защиты от выгрузки собственного процесса также претерпел изменения: теперь вредоносная программа не пытается определить наличие специального файла в собственной папке, а выполняет проверку на основе идентификатора процесса (PID). Среди отсылаемой Linux.DDoS.89 на управляющий сервер информации отсутствует МАС-адрес сетевого адаптера. Кроме того, из списка поддерживаемых типов атак исчез HTTP flood. В то же время формат получаемых от злоумышленников команд остался прежним. Кроме того, в Linux.DDoS.89 появился новый компонент — telnet-сканнер, который ранее использовался во всех версиях Linux.BackDoor.Fgt. Этот сканер предназначен для поиска в сети уязвимых устройств и несанкционированного подключения к ним по протоколу telnet.

В конце августа – начале сентября была обнаружена еще одна обновленная версия этого троянца, получившая название Linux.Mirai. В некоторых образцах вредоносной программы появилась функция самоудаления. Троянец научился отключать предотвращающий зависание операционной системы сторожевой таймер watchdog (чтобы исключить перезагрузку устройства), а в перечень выполняемых типов атак вернулся HTTP flood. Тем не менее, Linux.Mirai во многом похож на своих предшественников. Для сравнения на иллюстрации ниже показан фрагмент кода Linux.DDoS.87 (слева) и Linux.Mirai (справа).

screen Linux.DDoS.87 #drweb screen Linux.Mirai #drweb

Некоторые исследователи сообщили в своих публикациях, что если Linux.Mirai удается обнаружить в сети уязвимое telnet-устройство, троянец выполняет зашитый в его тело bash-сценарий. Такое поведение действительно характерно для Linux.BackDoor.Fgt, однако ни в одном из образцов Linux.Mirai, имеющихся в распоряжении вирусных аналитиков «Доктор Веб», подобного сценария обнаружить не удалось. Наши специалисты были бы благодарны коллегам за предоставленные образцы Linux.Mirai, в которых вирусописатели предусмотрели такую функцию.


Дата публикации: 28, Сентября 2016 г.


Источник: Доктор Веб

Корзина

Количество товаров: 0
Сравнить
<%compare_list%>

Online проверка

Новости

05.10.22
«Доктор Веб»: обзор вирусной активности для мобильных устройств в августе 2022 года
05.10.22
Новые улучшения и исправления в продуктах Dr.Web 12.0 для Windows, Dr.Web Enterprise Security Suite 12.0 и 13.0 и в Антивирусе Dr.Web по подписке на базе Dr.Web AV-Desk 13.0
05.10.22
«Доктор Веб»: обзор вирусной активности для мобильных устройств в июле 2022 года
05.10.22
Рост вредоносной активности, распространение рекламных троянских программ и другие события августа 2022 года
05.10.22
Мошенники эксплуатируют тему мобилизации
05.10.22
«Доктор Веб»: обзор вирусной активности в июле 2022 года
05.10.22
Темная тема для пользователей Dr.Web Enterprise Security Suite 13.0 и Антивируса Dr.Web по подписке на базе Dr.Web AV-Desk 13.0
05.10.22
Распространение рекламных троянских приложений и другие события — в мобильном обзоре вирусной активности за август 2022 года
05.10.22
Повышена стабильность работы продуктов Dr.Web 12.0 для Windows

Все новости →

Антивирусы РУ
Rambler's Top100