"Perfctl" adlı bir Linux kötü amaçlı yazılım, en az üç yıldır Linux sunucularını ve iş istasyonlarını hedefliyor ve yüksek kaçakçılık seviyeleri ve rootkits kullanımı yoluyla büyük ölçüde tespit edilmiyor.
Perfctl'i keşfeden Aqua Nautilus araştırmacılarına göre, kötü amaçlı yazılım muhtemelen son yıllarda milyonlarca Linux sunucusunu hedef aldı ve muhtemelen binlerce enfeksiyona neden oldu.
Bu, tüm Perfctl etkinliği ile ilişkili uzlaşma göstergelerini içeren çevrimiçi tartışma forumlarına sunulan kötü amaçlı yazılım kurbanlarının sayısız raporuna dayanmaktadır.
Aqua Nautilus'a göre, perfctl'in birincil amacı, izlemesi zor Monero kripto para birimini çıkarmak için tehlikeye atılan sunucuları kullanarak kriptominasyon içindir. Ancak, daha zararlı operasyonlar için kolayca kullanılabilir.
Aqua Nautilus, tehdit aktörlerinin Linux sunucularını ihlal etmek için yanlış yapılandırmaları veya maruz kalan sırları kullandığına inanıyor. Bu yanlış yapılandırmalar, kimlik bilgileri içeren halka açık dosyalardan maruz kalan giriş arayüzlerine kadar değişir.
Araştırmacılar ayrıca, 5.1.0 ve daha büyük Apache RocketMQ sürümlerini ve CVE-2021-4034 (PWNKIT), Polkit'te bir ayrıcalık kusuru artışı olan CVE-2023-33246'nın sömürülmesini gözlemlediler.
İlk erişim belirlendikten sonra, "HTTPD" adlı paketlenmiş ve gizlenmiş yük, saldırganın sunucusundan indirilir ve yürütülür. Daha sonra kendisini "SH" adı altında /TMP dizininde kopyalar ve daha sonra orijinal ikili siler.
Yeni süreç, esasen normal Linux sistem işlemleriyle harmanlanarak aynı adı ("sh") varsayar.
Bir temizlik durumunda kalıcılığı sağlamak için "/root/.config", "/usr/bin/" ve "usr/lib" gibi diğer sistem konumlarında ek kopyalar oluşturulur.
Başlatıldığında Perfctl, dahili iletişim için bir UNIX soketi açar ve tehdit aktörünün sunucuları ile Tor üzerindeki şifreli bir kanal oluşturur ve değişimi deşifre etmeyi imkansız hale getirir.
Daha sonra, kimlik doğrulama mekanizmalarını değiştirmek ve kaçış kolaylaştırmak için ağ trafiğini engellemek için çeşitli sistem işlevlerine bağlanan 'libgcwrap.so' adlı bir rootkit bırakır.
Ek Userland rootkits de dağıtılır, LDD, üst, crontab ve LSOF yardımcı programlarını truva atışları ile değiştirir ve yine kötü amaçlı yazılım faaliyetlerinin doğrudan algılanmasını önler.
Son olarak, bir XMRIG madencisi sisteme bırakılır ve sunucunun CPU kaynaklarını kullanarak Monero'ya mayın için yürütülür.
Cryptominer, Set Madencilik Havuzları ile TOR üzerinden iletişim kurar, böylece ağ trafiği gizlenir ve karlar izlenemez.
Bazı durumlarda, Aqua Nautilus, saldırganlara ek bir para kazanma yolu veren proxy jack yazılımının konuşlandırılmasını da gördü ve bitping, repock, speedshare ve diğer benzer hizmetler yoluyla kullanılmayan ağ bant genişliği sattı.
Çoğu kullanıcı, kripto para birimi için BT madenciliği nedeniyle CPU'nun% 100 kullanımda olduğunu fark ettikten sonra sunucularına enfekte olduğundan şüphelenir.
Ancak, kötü amaçlı yazılım oldukça kaçındırır, bir kullanıcı sunucuya oturum açana kadar madencilik faaliyetlerini gerçekleştirir, bu da hemen durmasına ve sunucu tekrar boşa gelene kadar beklemesine neden olur.
Reddit'te bir kullanıcı, "Sadece kötü amaçlı yazılımın farkına vardım çünkü izleme kurulumum beni% 100 CPU kullanımına karşı uyardı."
"Ancak, SSH veya konsol üzerinden oturum açtığımda süreç derhal duracaktı. Oturum açar çıkmaz, kötü amaçlı yazılım birkaç saniye veya dakika içinde çalışmaya devam edecekti."
RootKITS'i kullanmak, işlemler Userland yardımcı programlarından ve normal kötü amaçlı yazılım kaldırma tekniklerinden gizlendiğinden, genellikle kullanıcıların dosya sistemini incelemek için çevrimdışı veya canlı bir CD aracılığıyla önyüklemelerini gerektirdiğinden kaldırmayı zorlaştırır.
Bununla birlikte, enfeksiyon meşru Linux dosyalarını değiştirir ve değiştirirken, en iyi öneri, hiçbir şeyin geride kalmamasını sağlamak için cihazı silmek ve yeniden yüklemektir.
Aqua Nautilus, dört ana kategoriye giren perfctl'i tespit etmek ve durdurmak için çeşitli yollar önermektedir: sistem izleme, ağ trafiği analizi, dosya ve proses bütünlüğü izleme ve proaktif azaltma.
Tespit ile ilgili olarak, aşağıdaki ipuçları Aqua Nautilus tarafından sağlanmaktadır:
Sistem yöneticileri, RocketMQ sunucuları (CVE-2023-33246) ve Polkit (CVE-2021-4043) gibi internete bakan uygulamalarda bilinen tüm kusurların yamalı olmasını sağlamalıdır.
Ayrıca, kullanılmayan HTTP hizmetlerini kapatmak, rol tabanlı erişim kontrollerini kullanmak ve 'NOExec' seçeneğini '/tmp' ve '/dev.shm' gibi kritik dizinlere uygulamak etkili olacaktır.
Yeni Linux Kötü Yazılım Hadooken Hedefleri Oracle WebLogic Sunucular
Github Yorumları Şifre Yatmak İçin İstismar edildi Kötü Yazılımları Düzeltmeler olarak Maskelenmiş
Gizli 'Sedexp' Linux kötü amaçlı yazılımdan kaçınmış tespit iki yıldır
ABD Yaptırımları Rus fidye yazılımı çeteleri tarafından kullanılan kripto borsaları
ABD'de suçlanan siber suç kara para aklama platformlarının Rus operatörleri
Kaynak: Bleeping Computer