Plague Backdoor

En tidligere ukjent og svært unnvikende Linux-skadevare, kalt Plague, har blitt oppdaget av cybersikkerhetseksperter. Til tross for at den har operert uoppdaget i omtrent et år, har denne ondsinnede bakdøren vist et avansert nivå av utholdenhet og stealth, slik at angripere i hemmelighet kan infiltrere systemer og opprettholde uautorisert tilgang.

Skjult i vanlig syn: Våpngjøring av PAM for skjult tilgang

Plague utgir seg for å være en ondsinnet Pluggable Authentication Module (PAM), en kjernekomponent som brukes i Linux- og UNIX-systemer for å håndtere autentisering for applikasjoner og tjenester. Ved å integrere seg i denne autentiseringsinfrastrukturen kan Plague:

• Omgå systemautentiseringsmekanismer i stillhet
• Hent brukerlegitimasjon
• Etabler vedvarende SSH-tilgang uten deteksjon

Fordi PAM-moduler lastes inn i privilegerte prosesser, har en useriøs implementering som Plague muligheten til å operere med utvidede tillatelser, og omgå ofte tradisjonelle deteksjons- og overvåkingsverktøy.

Usett og i utvikling: Uoppdaget av sikkerhetsmotorer

Forskere har identifisert flere forskjellige Plague-eksempler, og ingen av dem ble flagget som skadelige av antimalware-skannere. Oppdagelsen av flere unike artefakter peker på kontinuerlig utvikling og forbedring fra de ansvarlige trusselaktørene, noe som tyder på at Plague er en del av en langsiktig offensiv strategi.

Pestens arsenal: Skjult tilgang og anti-rettsmedisinske undersøkelser

Pesten er utstyrt med et sett avanserte funksjoner som bidrar til dens unnvikelsesevne og evne til å operere uoppdaget:

• Statiske legitimasjonsopplysninger for å muliggjøre hemmelig, gjentatt tilgang
• Anti-feilsøkingsmekanismer og strengforvirring for å hindre reverse engineering

Miljømanipulering for å dekke over sporene, inkludert:

• Fjerne SSH-relaterte miljøvariabler (SSH_CONNECTION, SSH_CLIENT)
• Omdirigerer skallhistorikk (HISTFILE) til /dev/null for å eliminere logger over utførte kommandoer

Disse taktikkene er spesielt utviklet for å fjerne eventuelle rettsmedisinske bevis på en angripers tilstedeværelse på det kompromitterte systemet.

Stille overlevende: Utholdenhet og forvirring i kjernen

Plagues integrering i autentiseringsstakken gjør at den overlever systemoppdateringer og opererer usynlig, noe som gjør den til en uvanlig robust trussel. Dens lagdelte obfuskasjonsteknikker og manipulering av systemmiljøvariabler reduserer synligheten drastisk, noe som gjør den til en formidabel utfordring for tradisjonelle deteksjonsmekanismer.

Konklusjon: En farlig trussel som krever årvåkenhet

Oppdagelsen av Plague fremhever den økende sofistikasjonen av Linux-rettet skadelig programvare. Ved å bygge seg inn i kritiske systemkomponenter og bruke smarte anti-forensiske metoder, utgjør den en betydelig risiko for organisasjoner som er avhengige av Linux-infrastruktur. Proaktiv overvåking, regelmessige revisjoner av PAM-moduler og atferdsbasert avviksdeteksjon er avgjørende for å bekjempe trusler av dette kaliberet.