Plague Backdoor

Ang isang dati nang hindi kilala at lubhang nakakaiwas sa Linux malware, na tinatawag na Plague, ay natuklasan ng mga eksperto sa cybersecurity. Sa kabila ng pagpapatakbo nang hindi natukoy sa loob ng humigit-kumulang isang taon, ang nakakahamak na backdoor na ito ay nagpakita ng isang advanced na antas ng pagtitiyaga at palihim, na nagpapahintulot sa mga umaatake na palihim na makalusot sa mga system at mapanatili ang hindi awtorisadong pag-access.

Hidden in Plain Sight: Weaponizing PAM for Stealthy Access

Ang salot ay nagpapanggap bilang isang nakakahamak na Pluggable Authentication Module (PAM), isang pangunahing bahagi na ginagamit sa Linux at UNIX system upang pangasiwaan ang pagpapatotoo para sa mga application at serbisyo. Sa pamamagitan ng pag-embed sa sarili nito sa loob ng imprastraktura ng pagpapatunay na ito, nagagawa ng Plague na:

• I-bypass ang mga mekanismo ng pagpapatunay ng system nang tahimik
• Kunin ang mga kredensyal ng user
• Magtatag ng patuloy na pag-access sa SSH nang walang pagtuklas

Dahil ang mga module ng PAM ay nilo-load sa mga privileged na proseso, ang isang rogue na pagpapatupad tulad ng Plague ay may kakayahang gumana nang may matataas na pahintulot, kadalasang umiiwas sa tradisyonal na mga tool sa pag-detect at pagsubaybay.

Hindi Nakikita at Nagbabago: Hindi Natukoy ng Mga Security Engine

Natukoy ng mga mananaliksik ang ilang iba't ibang sample ng Plague, wala sa mga ito ang na-flag bilang nakakahamak ng mga antimalware scanner. Ang pagtuklas ng maraming natatanging artifact ay tumutukoy sa patuloy na pag-unlad at pagpipino ng mga responsableng aktor ng banta, na nagmumungkahi na ang Salot ay bahagi ng isang pangmatagalang diskarte sa opensiba.

Plague’s Arsenal: Covert Access at Anti-Forensics

Ang salot ay nilagyan ng isang hanay ng mga advanced na feature na nag-aambag sa pag-iwas nito at kakayahang gumana nang hindi natukoy:

• Mga static na kredensyal upang paganahin ang lihim, paulit-ulit na pag-access
• Mga mekanismong anti-debug at string obfuscation upang hadlangan ang reverse engineering

Pangkapaligiran pakikialam upang masakop ang mga track nito, kabilang ang:

• Inaalis ang pagkakatakda sa mga variable ng kapaligiran na nauugnay sa SSH (SSH_CONNECTION, SSH_CLIENT)
• Nire-redirect ang kasaysayan ng shell (HISTFILE) sa /dev/null para alisin ang mga log ng mga naisagawang command

Ang mga taktikang ito ay partikular na idinisenyo upang alisin ang anumang forensic na ebidensya ng presensya ng isang umaatake sa nakompromisong sistema.

Tahimik na Nakaligtas: Pagtitiyaga at Obfuscation sa Ubod Nito

Ang pagsasama ng Plague sa authentication stack ay nagbibigay-daan dito na makaligtas sa mga update ng system at gumana nang hindi nakikita, na ginagawa itong isang hindi pangkaraniwang nababanat na banta. Ang mga layered obfuscation technique nito at pagmamanipula ng mga variable ng system environment ay lubhang nagpapababa ng visibility nito, na ginagawa itong isang mabigat na hamon para sa mga tradisyunal na mekanismo ng pagtuklas.

Konklusyon: Isang Mapanganib na Banta na Nangangailangan ng Pagpupuyat

Itinatampok ng pagtuklas ng Plague ang lumalagong pagiging sopistikado ng malware na naka-target sa Linux. Sa pamamagitan ng pag-embed ng sarili nito sa mga kritikal na bahagi ng system at paggamit ng matatalinong pamamaraang anti-forensic, nagdudulot ito ng malaking panganib sa mga organisasyong umaasa sa imprastraktura ng Linux. Ang aktibong pagsubaybay, regular na pag-audit ng mga module ng PAM, at pagtukoy ng anomalya na nakabatay sa pag-uugali ay mahalaga sa paglaban sa mga banta ng ganitong kalibre.