Złośliwe oprogramowanie dla Linuksa FontOnLake jest wykorzystywane w atakach ukierunkowanych
Specjaliści ESET rozmawiałem o złośliwym oprogramowaniu FontOnLake, który łączy komponenty backdoora i rootkita. Wiadomo, że złośliwe oprogramowanie jest wykorzystywane w atakach ukierunkowanych na organizacje w Azji Południowo-Wschodniej.
Eksperci piszą, że pierwszy plik związany z tą rodziną złośliwego oprogramowania pojawił się na Wirus Suma z powrotem w maju zeszłego roku, a inne próbki zostały przesłane w ciągu roku. Na podstawie tego, skąd te pliki zostały pobrane, naukowcy doszli do wniosku, że CzcionkaNaJeziorze był używany głównie w Azji Południowo-Wschodniej. W momencie pisania tego tekstu, wszystkie serwery kontrolne szkodliwego oprogramowania zostały już wyłączone. Ale naukowcy zauważają, że, z zasady, podczas ataków ukierunkowanych, hakerzy działają w ten sposób: praca infrastruktury zatrzymuje się, gdy tylko zostaną osiągnięte ich cele.
Wiadomo, że FontOnLake jest dystrybuowany za pośrednictwem strojanizowanych aplikacji, ale badacze nie wiedzą, w jaki sposób napastnicy zmusili swoje ofiary do pobrania zmodyfikowanych plików binarnych. Wśród narzędzi, które atakujący zmodyfikował w celu dostarczenia FontOnLake, znalazły się cat, zabić, sftp, i shd.
Według badaczy, strojanizowane narzędzia zostały prawdopodobnie zmodyfikowane na poziomie kodu źródłowego, to jest, atakujący je skompilowali i zastąpili oryginał.
Również, zmodyfikowane pliki binarne zapewniały ładowanie dodatkowych ładunków, zbieranie informacji i wykonywanie innych złośliwych działań. Faktem jest, że FontOnLake ma kilka modułów, które współdziałają ze sobą i umożliwiają hakerom kradzież poufnych danych, skutecznie ukrywa swoją obecność w systemie.
Eksperci odkryli również trzy niestandardowe backdoory napisane w języku C ++ i związane z FontOnLake. Zapewniają operatorom szkodliwego oprogramowania zdalny dostęp do zainfekowanego systemu. Wspólną cechą wszystkich backdoorów jest przekazywanie zebranych danych uwierzytelniających sshd i historii poleceń bash do serwera dowodzenia i kontroli.
Obecność FontOnLake w zaatakowanym systemie jest również maskowana przez rootkita, który jest również odpowiedzialny za aktualizację i dostarczanie backdoorów backupowych. Wszystkie próbki rootkitów przebadane przez ESET ukierunkowane wersje jądra 2.6.32-696.el6.x86_64 i 3.10.0-229.el7.X86_64.
Przypomnę, że my też to napisaliśmy Hakerzy tworzą Kobaltowa latarnia uderzeniowa dla Linuksa.
