恶意软件Symbiote将感染Linux系统上所有正在运行的进程

admin 2022年6月14日08:50:02安全新闻评论6 views1213字阅读4分2秒阅读模式

恶意软件Symbiote将感染Linux系统上所有正在运行的进程

近期,一种新发现的名为Symbiote的Linux恶意软件会感染目标系统上所有正在运行的进程,窃取帐户凭据并为其背后的操作员提供后门访问权限。据调查,该恶意软件会将自身注入所有正在运行的进程,就像是一个系统里的寄生虫,即使再细致的深入检查期间也不会留下可识别的感染迹象。它使用 BPF(柏克莱封包过滤器)挂钩功能来嗅探网络数据包并隐藏自己的通信通道以防止安全工具的检测。

BlackBerry和 Intezer Labs 的研究人员发现并分析了这种新型威胁,他们在一份详细的技术报告中揭示了该新恶意软件的详细信息。据他们介绍,Symbiote 自去年以来一直被积极开发中。

与典型的可执行文件形式不同,Symbiote是一个共享对象(SO)库,它使用LD_PRELOAD指令加载到正在运行的进程中,以获得相对于其他SOs的优先级。通过第一个加载,Symbiote可以挂钩“libc”和“libpcap”函数,并执行各种操作来隐藏它的存在,比如隐藏寄生进程、隐藏部署了恶意软件的文件等等。

恶意软件Symbiote将感染Linux系统上所有正在运行的进程

安全研究人员在近期发布的一份报告中透露:“当恶意软件将自己注入程序中时,它可以选择显示哪些结果。如果管理员在受感染的机器上启动数据包捕获,以调查一些可疑的网络流量,Symbiote就会把自己注入到检查软件的过程中,并使用BPF挂钩过滤掉可能暴露其活动的结果。”为了隐藏其在受损机器上的恶意网络活动,Symbiote会清除它想要隐藏的连接条目,通过BPF进行包过滤,并移除其域名列表中的UDP traffic。

这种隐秘的新恶意软件主要通过连接“libc读取”功能从被黑的Linux设备中自动获取证书。在针对高价值网络中的Linux服务器时,这是一项至关重要的任务,因为窃取管理员帐户凭据为畅通无阻的横向移动和无限制地访问整个系统开辟了道路。Symbiote还通过PAM服务为其背后的威胁参与者提供对机器的远程SHH访问,同时它还为威胁参与者提供了一种在系统上获得 root 权限的方法。该恶意软件的目标主要是拉丁美洲从事金融行业的实体,他们会冒充巴西银行、该国联邦警察等。研究人员表示由于恶意软件作为用户级 rootkit 运行,因此在检测是否感染时就很困难。

“网络遥测技术可以用来检测异常的DNS请求,安全工具,如AVs和edr应该静态链接,以确保它们不被用户的rootkits‘感染’,”专家表示,随着大型和有价值的公司网络广泛使用这种架构,这种用于攻击Linux系统的先进和高度规避的威胁预计将在未来显著增加。

参考来源

https://www.bleepingcomputer.com/news/security/new-symbiote-malware-infects-all-running-processes-on-linux-systems/

恶意软件Symbiote将感染Linux系统上所有正在运行的进程



精彩推荐






恶意软件Symbiote将感染Linux系统上所有正在运行的进程

恶意软件Symbiote将感染Linux系统上所有正在运行的进程
恶意软件Symbiote将感染Linux系统上所有正在运行的进程
恶意软件Symbiote将感染Linux系统上所有正在运行的进程

原文始发于微信公众号(FreeBuf):恶意软件Symbiote将感染Linux系统上所有正在运行的进程

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年6月14日08:50:02
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  恶意软件Symbiote将感染Linux系统上所有正在运行的进程 http://cn-sec.com/archives/1110488.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: