Plague Backdoor

Các chuyên gia an ninh mạng vừa phát hiện một loại mã độc Linux chưa từng được biết đến và có khả năng ẩn náu cao, có tên gọi là Plague. Mặc dù hoạt động mà không bị phát hiện trong khoảng một năm, mã độc này đã chứng minh được mức độ ẩn náu và ẩn núp vượt trội, cho phép kẻ tấn công bí mật xâm nhập vào hệ thống và duy trì quyền truy cập trái phép.

Ẩn mình trong tầm nhìn: Vũ khí hóa PAM để truy cập bí mật

Plague ngụy trang thành một Mô-đun Xác thực Cắm được (PAM) độc hại, một thành phần cốt lõi được sử dụng trong các hệ thống Linux và UNIX để xử lý xác thực cho các ứng dụng và dịch vụ. Bằng cách nhúng chính nó vào cơ sở hạ tầng xác thực này, Plague có thể:

• Bỏ qua cơ chế xác thực hệ thống một cách âm thầm
• Thu thập thông tin đăng nhập của người dùng
• Thiết lập quyền truy cập SSH liên tục mà không bị phát hiện

Vì các mô-đun PAM được tải vào các tiến trình đặc quyền nên một triển khai độc hại như Plague có khả năng hoạt động với các quyền cao hơn, thường tránh được các công cụ phát hiện và giám sát truyền thống.

Vô hình và đang phát triển: Không bị phát hiện bởi các công cụ bảo mật

Các nhà nghiên cứu đã xác định được một số mẫu Plague khác nhau, nhưng không có mẫu nào bị các trình quét phần mềm độc hại đánh dấu là độc hại. Việc phát hiện ra nhiều hiện vật độc đáo cho thấy sự phát triển và tinh vi đang diễn ra của các tác nhân đe dọa, cho thấy Plague là một phần của chiến lược tấn công dài hạn.

Kho vũ khí của bệnh dịch hạch: Truy cập bí mật và chống pháp y

Plague được trang bị một loạt các tính năng tiên tiến giúp nó có khả năng lẩn tránh và hoạt động mà không bị phát hiện:

• Thông tin xác thực tĩnh để cho phép truy cập bí mật, lặp lại
• Cơ chế chống gỡ lỗi và làm tối chuỗi để cản trở quá trình kỹ thuật đảo ngược

Hành vi phá hoại môi trường nhằm che giấu dấu vết, bao gồm:

• Bỏ cài đặt các biến môi trường liên quan đến SSH (SSH_CONNECTION, SSH_CLIENT)
• Chuyển hướng lịch sử shell (HISTFILE) đến /dev/null để xóa nhật ký các lệnh đã thực thi

Các chiến thuật này được thiết kế đặc biệt để xóa bỏ mọi bằng chứng pháp y về sự hiện diện của kẻ tấn công trên hệ thống bị xâm phạm.

Người sống sót thầm lặng: Sự kiên trì và che giấu cốt lõi

Việc Plague được tích hợp vào ngăn xếp xác thực cho phép nó tồn tại qua các bản cập nhật hệ thống và hoạt động vô hình, khiến nó trở thành một mối đe dọa có khả năng phục hồi cực kỳ tốt. Các kỹ thuật che giấu theo lớp và thao túng các biến môi trường hệ thống làm giảm đáng kể khả năng hiển thị của nó, khiến nó trở thành một thách thức đáng gờm đối với các cơ chế phát hiện truyền thống.

Kết luận: Một mối đe dọa nguy hiểm đòi hỏi sự cảnh giác

Việc phát hiện ra Plague cho thấy sự tinh vi ngày càng tăng của phần mềm độc hại nhắm mục tiêu vào Linux. Bằng cách nhúng vào các thành phần hệ thống quan trọng và sử dụng các phương pháp chống điều tra thông minh, nó gây ra rủi ro đáng kể cho các tổ chức đang sử dụng cơ sở hạ tầng Linux. Việc giám sát chủ động, kiểm tra thường xuyên các mô-đun PAM và phát hiện bất thường dựa trên hành vi là rất cần thiết để chống lại các mối đe dọa loại này.