Plague Backdoor
תוכנה זדונית לינוקס, שכונתה Plague, התגלתה על ידי מומחי אבטחת סייבר, שלא הייתה מוכרת בעבר ומהווה חמקמקה ביותר. למרות שפעלה מבלי להתגלות במשך כשנה, דלת אחורית זדונית זו הפגינה רמה מתקדמת של עמידות וחמקנות, המאפשרת לתוקפים לחדור בחשאי למערכות ולשמור על גישה בלתי מורשית.
תוכן העניינים
מוסתר לעין: שימוש ב-PAM כנשק לגישה חשאית
Plague מתחזה למודול אימות נתקע (PAM) זדוני, רכיב מרכזי המשמש במערכות לינוקס ו-UNIX לטיפול באימות עבור יישומים ושירותים. על ידי הטמעתו בתוך תשתית אימות זו, Plague מסוגלת:
- עקיפת מנגנוני אימות מערכתיים בשקט
- לכידת אישורי משתמש
- יצירת גישת SSH מתמשכת ללא גילוי
מכיוון שמודולי PAM נטענים לתהליכים פריבילגיים, יישום סורר כמו Plague יכול לפעול עם הרשאות מוגברות, ולעתים קרובות להתחמק מכלי זיהוי וניטור מסורתיים.
בלתי נראה ומתפתח: לא מזוהה על ידי מנועי אבטחה
חוקרים זיהו מספר דגימות שונות של Plague, שאף אחת מהן לא סומנה כזדונית על ידי סורקי תוכנות נגד תוכנות זדוניות. גילוי מספר רב של ממצאים ייחודיים מצביע על פיתוח ועידון מתמשכים על ידי גורמי האיום האחראים, דבר המצביע על כך ש-Plague היא חלק מאסטרטגיה התקפית ארוכת טווח.
ארסנל המגפה: גישה סמויה ואנטי-פורנזיקה
מגפה מצוידת במערכת של תכונות מתקדמות התורמות להתחמקותה וליכולתה לפעול מבלי להתגלות:
- אישורים סטטיים כדי לאפשר גישה סודית וחוזרת
- מנגנוני מניעת ניפוי שגיאות וטשטוש מחרוזות כדי למנוע הנדסה הפוכה
התערבות סביבתית כדי לטשטש את עקבותיה, כולל:
- ביטול הגדרה של משתני סביבה הקשורים ל-SSH (SSH_CONNECTION, SSH_CLIENT)
- ניתוב מחדש של היסטוריית הקליפה (HISTFILE) אל /dev/null כדי להסיר יומני רישום של פקודות שבוצעו
טקטיקות אלו נועדו במיוחד להסיר כל ראיה משפטית לנוכחותו של תוקף במערכת שנפגעה.
ניצול שקט: התמדה וטשטוש בליבתה
שילובה של Plague במחסנית האימות מאפשר לה לשרוד עדכוני מערכת ולפעול באופן בלתי נראה, מה שהופך אותה לאיום עמיד במיוחד. טכניקות הערפול הרב-שכבתיות שלה והמניפולציה של משתני סביבת המערכת מפחיתות באופן דרסטי את הנראות שלה, מה שהופך אותה לאתגר אדיר עבור מנגנוני גילוי מסורתיים.
סיכום: איום מסוכן הדורש ערנות
גילוי Plague מדגיש את התחכום הגובר של תוכנות זדוניות המכוונות נגד לינוקס. על ידי הטמעתן ברכיבי מערכת קריטיים ושימוש בשיטות אנטי-פורנזיות חכמות, היא מהווה סיכון משמעותי לארגונים המסתמכים על תשתית לינוקס. ניטור יזום, ביקורות סדירות של מודולי PAM וזיהוי אנומליות מבוסס התנהגות חיוניים במאבק באיומים מסוג זה.
