Руткит скрывает криптомайнер из списка активных процессов
Вредоносная программа изменяет одну из библиотек в операционной системе Linux, чтобы обмануть жертву.
Необычный зловред попал в сети исследователей из TrendMicro. Специалисты обнаружили приложение для майнинга криптовалюты, которое использует руткит, чтобы скрыть свое присутствие в списке активных процессов. Таким образом злоумышленники пытаются затруднить обнаружение программы, потребляющей ресурсы центрального процессора. Скрипт атакует компьютеры под управлением Linux и, скорее всего, попадает в целевую систему с одним из сторонних плагинов, таких как ПО для воспроизведения потокового видео.
Атака начинается с доставки на компьютер загрузчика, который связывается с хранилищем в сервисе Pastebin, скачивает и выполняет скрипт оболочки. Она устанавливает на зараженное устройство макрос, отвечающий за развертывание и обновление криптомайнера. Полезная нагрузка попадает в целевую систему под видом JPG-файла, который в действительности является исполняемым модулем в формате ELF.
Программа для генерации цифровых денег пытается задействовать все доступные ресурсы центрального процессора и существенно замедляет работу компьютера. Чтобы скрыть присутствие зловреда, киберпреступники используют руткит, который удаляет криптомайнер из списка активных процессов, но оставляет его в памяти устройства.
Он представляет собой модифицированную версию макроса, доступного для скачивания в Интернете.
Руткит подменяет компонент readdir библиотеки libc, чтобы программы мониторинга процессов не видели зловред. Таким образом, жертва не сможет обнаружить и выгрузить криптомайнер, а индикатором заражения будет служить лишь полная загрузка центрального процессора.
Многофункциональные зловреды, способные генерировать цифровые деньги, уже попадали в сферу внимания ИБ-специалистов. Осенью этого года стало известно о программе XBash, совмещавшей в себе возможности бота, вымогателя, интернет-червя и майнера. Скрипт атаковал компьютеры под управлением Windows, macOS и Linux, используя подбор паролей и несколько эксплойтов для взлома сетевых баз данных.
 |
нравится | не нравится |  |
| Рейтинг: | 0 |
Всего голосов: 0 |
Использование любых материалов, размещённых на сайте, разрешается при условии ссылки на sos.net.ua.