Perfctl மால்வேர் ஆயிரக்கணக்கான லினக்ஸ் சேவையகங்களைப் பாதிக்கும் அமைதியான அச்சுறுத்தலாக மாறுகிறது

அக்வா செக்யூரிட்டியின் சமீபத்திய அதிர்ச்சியூட்டும் கண்டுபிடிப்பில், Perfctl என்ற திருட்டுத்தனமான மால்வேர் லினக்ஸ் சேவையகங்களை மூன்று ஆண்டுகளுக்கும் மேலாக தீவிரமாக குறிவைத்து, சர்வர் தவறான கட்டமைப்புகள் மற்றும் பாதிப்புகளில் இருந்து நழுவி வருகிறது. இந்த அதிநவீன தீம்பொருள் ஆயிரக்கணக்கான அமைப்புகளை சமரசம் செய்துள்ளது, ஏய்ப்பு தந்திரங்கள் மற்றும் என்னுடைய கிரிப்டோகரன்சிக்கான ஆதாரங்களை கடத்துகிறது. ரேடாரின் கீழ் பறக்கும் இந்த மால்வேர் குடும்பத்தைப் பற்றி நீங்கள் தெரிந்து கொள்ள வேண்டியது இங்கே.

Perfctl எவ்வாறு செயல்படுகிறது

Perfctl லினக்ஸ் சேவையகங்களில் 20,000 க்கும் மேற்பட்ட அறியப்பட்ட பாதிப்புகள் மற்றும் தவறான உள்ளமைவுகளைப் பயன்படுத்தி தொடர்ச்சியான அணுகலை நிறுவுகிறது. உள்ளே நுழைந்ததும், அது உடனடியாக அலாரங்களை எழுப்பாது. அதற்குப் பதிலாக, அது அமைதியாக வேலை செய்கிறது, ரூட்கிட்டைப் பயன்படுத்தி தன்னை மறைத்துக் கொள்கிறது மற்றும் சர்வர் செயலற்ற நிலையில் இருக்கும்போது மட்டுமே செயல்படுத்துகிறது. அதன் கட்டளை மற்றும் கட்டுப்பாடு (C&C) உள்கட்டமைப்புடன் தொடர்புகொள்வது யூனிக்ஸ் சாக்கெட் மற்றும் டோர் நெட்வொர்க் மூலம் கவனமாக நிர்வகிக்கப்படுகிறது, இது வெளிப்புற கட்டளைகளைக் கண்டறிவது கடினம் என்பதை உறுதி செய்கிறது.

தீம்பொருள் கணினிக்குள் நுழைந்தவுடன், அது ஒரு பின்கதவை உருவாக்கி, சிறப்புரிமைகளை அதிகரித்து, அதன் ஆபரேட்டர்கள் பாதிக்கப்பட்ட சேவையகத்தை தொலைவிலிருந்து கட்டுப்படுத்த அனுமதிக்கிறது. அங்கிருந்து, Perfctl உளவுத்துறைக்கான கருவிகளை வரிசைப்படுத்துகிறது, ஒரு கிரிப்டோகரன்சி மைனரை கைவிடுகிறது, மேலும் சமரசம் செய்யப்பட்ட அமைப்புகளிலிருந்து வளங்களைத் திருட ப்ராக்ஸி-ஜாக்கிங் மென்பொருளைப் பயன்படுத்துகிறது. அதன் ஆபரேட்டர்கள் கூடுதல் மால்வேரையும் பயன்படுத்துகின்றனர், இதனால் பாதிக்கப்பட்ட இந்த சர்வர்களை மேலும் மோசமான செயல்களுக்கு இனப்பெருக்கம் செய்கின்றனர்.

ஏய்ப்பு மற்றும் விடாமுயற்சியே Perfctl இன் திருட்டுத்தனத்திற்கு திறவுகோலாகும்

Perfctl எல்லாவற்றிற்கும் மேலாக ஒரு விஷயத்திற்காக வடிவமைக்கப்பட்டுள்ளது: மறைந்திருப்பது. இது முறையான பணிச்சுமைகளுக்கு முன்பாக இயங்குவதை உறுதிசெய்ய கணினி ஸ்கிரிப்ட்களை மாற்றியமைக்கிறது, சர்வரில் அதன் பிடியைப் பராமரிக்கிறது. இது பல்வேறு அங்கீகரிப்பு செயல்பாடுகளிலும் இணைகிறது, இது கடவுச்சொல் சரிபார்ப்புகளைத் தவிர்த்து அல்லது நற்சான்றிதழ்களைப் பதிவு செய்ய அனுமதிக்கிறது, மேலும் தாக்குபவர்களுக்கு முக்கியமான தரவுகளுக்கான அணுகலை வழங்குகிறது. தீம்பொருள் பயனர் செயல்பாட்டைக் கண்டறிந்தால், அதன் செயல்பாடுகளை இடைநிறுத்தும் வரை செல்கிறது, இது நிர்வாகிகளுக்கு கிட்டத்தட்ட கண்ணுக்கு தெரியாததாக இருக்கும்.

பேக் செய்யப்பட்ட, அகற்றப்பட்ட மற்றும் மறைகுறியாக்கப்பட்ட, Perfctl இன் பைனரிகள் கண்டறிதல் மற்றும் தலைகீழ் பொறியியலைத் தவிர்ப்பதற்காக வடிவமைக்கப்பட்டுள்ளன. பாரம்பரிய தற்காப்பு வழிமுறைகள் அதற்கு எதிராக செயல்படாது என்பதை உறுதிசெய்ய அதன் படைப்பாளிகள் அதிக முயற்சி எடுத்துள்ளனர். விஷயங்களை மோசமாக்க, Perfctl ஒரு கணினியை சமரசம் செய்வதில் மட்டும் திருப்தி அடையவில்லை - இது சர்வரில் உள்ள மற்ற தீம்பொருளைத் தீவிரமாகத் தேடி, அவற்றை நிறுத்த முயற்சிக்கிறது, இது கணினியில் இயங்கும் ஒரே தீம்பொருள் என்பதை உறுதி செய்கிறது.

பாதிப்பு: CVE-2021-4043 சுரண்டப்பட்டது

Perfctl இன் முக்கியமான நுழைவுப் புள்ளிகளில் ஒன்று அறியப்பட்ட பாதிப்பு: CVE-2021-4043. இது ஓப்பன் சோர்ஸ் மல்டிமீடியா கட்டமைப்பான Gpac இல் உள்ள நடுத்தர தீவிரத்தன்மை கொண்ட Null pointer dereference பிழையாகும். Perfctl அதன் சிறப்புரிமைகளை அதிகரிக்க இந்த பாதிப்பைப் பயன்படுத்துகிறது, ரூட் அணுகலைப் பெற முயற்சிக்கிறது. CISAவின் அறியப்பட்ட சுரண்டப்பட்ட பாதிப்புகள் பட்டியலில் இந்த பிழை சமீபத்தில் சேர்க்கப்பட்டாலும், காடுகளில் தொடர்ந்து சுரண்டப்படுவதால் இந்த தீம்பொருளுக்கு இலக்காகவே உள்ளது.

Perfctl அணுகலைப் பெற்றவுடன், அது பாதிக்கப்பட்ட கணினி முழுவதும் பரவி, தன்னைப் பல இடங்களுக்கு நகலெடுக்கிறது, மேலும் யூசர்லேண்ட் ரூட்கிட்களாகச் செயல்படும் மாற்றியமைக்கப்பட்ட லினக்ஸ் பயன்பாடுகளைக் கூட கைவிடுகிறது. இந்த பயன்பாடுகள் அதன் செயல்பாடுகளை மேலும் மூடிமறைக்கிறது மற்றும் கிரிப்டோமினர் பின்னணியில் கவனிக்கப்படாமல் இயங்க அனுமதிக்கிறது.

தாக்குதலின் நோக்கம்

Perfctl இன் அணுகல் பரந்த அளவில் உள்ளது, Aqua Security தாக்குதல்களில் பயன்படுத்தப்பட்ட மூன்று பதிவிறக்க சேவையகங்கள் மற்றும் சமரசம் செய்யப்பட்ட வலைத்தளங்களின் எண்ணிக்கையை அடையாளம் காட்டுகிறது. Perfctl க்கு பின்னால் உள்ள அச்சுறுத்தல் நடிகர்கள், அம்பலப்படுத்தப்பட்ட உள்ளமைவு கோப்புகள் மற்றும் இரகசியங்களைத் தேட, கிட்டத்தட்ட 20,000 உள்ளீடுகளைக் கொண்ட அடைவு டிராவர்சல் ஃபஸிங் பட்டியல்களைப் பயன்படுத்துகின்றனர். தாக்குபவர்கள் சீரற்ற பாதிப்புகளை மட்டும் நம்பியிருக்கவில்லை, மாறாக தவறாக உள்ளமைவுகளை சுரண்டுவதற்கு திட்டமிட்டு தேடுகிறார்கள் என்பதை இது தெளிவுபடுத்துகிறது.

என்ன செய்ய முடியும்?

Perfctl இன் கண்டுபிடிப்பு லினக்ஸ் சேவையகங்களில் பாதுகாப்பான உள்ளமைவுகளை பராமரிப்பதன் முக்கியத்துவத்தை எடுத்துக்காட்டுகிறது மற்றும் அறியப்பட்ட பாதிப்புகளை கூடிய விரைவில் சரிசெய்கிறது. சிஸ்டம் நிர்வாகிகள் வழக்கத்திற்கு மாறான செயல்பாட்டிற்காக தங்கள் கணினிகளைத் தவறாமல் தணிக்கை செய்ய வேண்டும், குறிப்பாக செயலற்ற காலங்களில், ரூட்கிட் அல்லது கிரிப்டோகரன்சி மைனர் இருப்பதைக் குறிக்கும் சந்தேகத்திற்கிடமான நெட்வொர்க் டிராஃபிக்கைக் கண்காணிக்க வேண்டும்.

Perfctl இன் அதிநவீன தன்மையைக் கருத்தில் கொண்டு, பாரம்பரிய கண்டறிதல் வழிமுறைகள் போதுமானதாக இருக்காது. மால்வேர் தீவிரமாக மறைக்க முயற்சித்தாலும் கூட, மேம்பட்ட அச்சுறுத்தல் கண்டறிதல் கருவிகளைச் செயல்படுத்துவதையும் சர்வர் நடத்தையில் அசாதாரண வடிவங்களைக் கண்டறியும் தீர்வுகளைக் கண்காணிப்பதையும் நிறுவனங்கள் பரிசீலிக்க வேண்டும்.