Linux malware, CronRAT, gemmer sig i et cron-job med forkerte datoer
Forskere fra det hollandske firma Sansec har opdaget en ny malware til Linux CronRAT. Det er en Remote Access Trojan (ROTTE) der undslipper opdagelse ved at gemme sig i opgaver, der er planlagt til at køre den ikke-eksisterende dag 31. februar.
Malwaren kaldes CronRAT og angriber hovedsageligt netbutikker, tillader cyberkriminelle at stjæle bankkortdata og installere webskimmere på Linux-servere (det er, at udføre den såkaldte MageCart angreb). uheldigvis, mange sikkerhedsløsninger gør det simpelthen ikke “se” CronRAT på grund af en række ejendommeligheder i dens drift.
CronRAT misbruger Linuxs opgaveplanlægningssystem, cron, som gør det muligt at planlægge opgaver til at køre på ikke-eksisterende kalenderdage såsom 31. februar. I dette tilfælde, cron-systemet accepterer sådanne datoer, hvis de har et gyldigt format (også selvom dagen ikke findes i kalenderen), men sådan en planlagt opgave vil simpelthen ikke blive fuldført.
Ved at drage fordel af denne funktion, CronRAT forbliver praktisk talt usynlig. I deres rapport, Sansec eksperter siger, at malwaren skjuler en “komplekst bash-program” i navnene på sådanne planlagte opgaver.
Den faktiske nyttelast er sløret med flere kompressionsniveauer og Base64. Det siger forskerne kode inkluderer kommandoer til selvdestruktion, tidsmodulation, og en brugerdefineret protokol, der gør det muligt at kommunikere med en ekstern server.
Malwaren er kendt for at kommunikere med C&C server (47.115.46.167) ved brug af “en eksotisk Linux-kernefunktion, der giver TCP-kommunikation via en fil.” Desuden, forbindelsen er lavet over TCP over port 443 ved at bruge et falsk banner til Dropbear SSH-tjenesten, hvilket også hjælper trojaneren til at gå ubemærket hen.
Som nævnt ovenfor, CronRAT blev fundet i mange online butikker rundt om i verden, hvor det blev brugt til at implementere specielle skimmer-scripts, der stjæler betalingskortdata. Sansec beskriver malwaren som “en alvorlig trussel mod Linux-baserede e-handelsservere.”
Lad mig minde dig om, at vi også talte om en anden Linux malware FontOnLake der bruges i målrettede angreb.
