Plague: новая чума атакует Linux

Исследователи из компании Nextron Systems обнаружили опасное вредоносное ПО для Linux, которое почти год никто не замечал. Зловред получил название Plague — в честь мистера Plague, персонажа из культового фильма 1995 года «Хакеры». Plague внедряется как модуль Pluggable Authentication Module (PAM), предоставляя злоумышленникам постоянный и скрытый доступ к взломанным системам.

Эксперты заявляют: это чрезвычайно продвинутый и изменчивый троян. Он вкрадчиво осваивается во внутренней системе аутентификации Linux, переживает обновления ОС и практически не оставляет следов — да-да, forensic-анализ скучает. Для достижения невидимости Plague применяет многоуровневую маскировку: тут и хитроумное шифрование строк (методы XOR, алгоритмы наподобие KSA/PRGA, свой слой DRBG), и проверки на отладку, и механизмы скрытия сессий, мгновенно уничтожающие любые компрометирующие записи. По данным специалистов, над вредоносом до сих пор ведётся активная работа.

Plague особенно опасен для так называемых bastion hosts и jump servers — опорных серверов и точек перехода администраторов в инфраструктуре организации. Если злоумышленники взломают подобную систему, они могут получить ключи от царства: распространять атаку по внутренней сети, повышать свои привилегии и вывозить конфиденциальные данные. В облачных средах дело ещё серьёзнее: компрометация одного сервера грозит потерей контроля над десятками виртуальных машин и сервисов одновременно.

Особенность Plague: его никто не ловит. Даже «лучшие» антивирусные решения за год так и не научились определять заражение, хотя сэмплы успели появиться в VirusTotal — публичной базе вредоносных файлов. Nextron советует администраторам самим заботиться о безопасности: проверять папку /lib/security на наличие подозрительных PAM-модулей, отслеживать изменения конфигов PAM в /etc/pam.d/ и внимательно мониторить логи аутентификации — вдруг кто-то уже строит свой тайный мостик в вашу инфраструктуру.