Новый троянец-майнер для Linux удаляет антивирусы



Скрытная добыча криптовалют с использованием ресурсов компьютера без ведома его владельца является одним из наиболее распространенных на сегодняшний день способов криминального заработка. Компания «Доктор Веб» рассказала об обнаруженном недавно троянце-майнере, который способен инфицировать устройства под управлением ОС Linux. Эта вредоносная программа способна заражать другие сетевые устройства и удалять работающие в системе антивирусы.

Троянец, добавленный в вирусные базы Dr.Web под именем Linux.BtcMine.174, представляет собой большой сценарий, написанный на языке командной оболочки sh и содержащий более 1000 строк кода. Эта вредоносная программа состоит из нескольких компонентов. При запуске троянец проверяет доступность сервера, с которого он впоследствии скачивает другие модули, и подыскивает на диске папку с правами на запись, в которую эти модули будут затем загружены. После этого сценарий перемещается в ранее подобранную папку с именем diskmanagerd и повторно запускается в качестве демона. Для этого троянец использует утилиту nohup. Если та в системе отсутствует, он самостоятельно загружает и устанавливает пакет утилит coreutils, в который в том числе входит nohup.

В случае успешной установки на устройство вредоносный сценарий скачивает одну из версий троянца Linux.BackDoor.Gates.9. Бэкдоры этого семейства позволяют выполнять поступающие от злоумышленников команды и проводить DDoS-атаки.

Установившись в системе, Linux.BtcMine.174 ищет конкурирующие майнеры и при обнаружении завершает их процессы. Если Linux.BtcMine.174 не был запущен от имени суперпользователя (root), для повышения своих привилегий в зараженной системе он использует набор эксплойтов. Вирусные аналитики «Доктор Веб» выявили как минимум два применяемых Linux.BtcMine.174 эксплойта: это Linux.Exploit.CVE-2016-5195 (также известный под именем DirtyCow) и Linux.Exploit.CVE-2013-2094, при этом загруженные из Интернета исходники DirtyCow троянец компилирует прямо на зараженной машине.

После этого вредоносная программа пытается отыскать работающие сервисы антивирусных программ с именами safedog, aegis, yunsuo, clamd, avast, avgd, cmdavd, cmdmgd, drweb-configd, drweb-spider-kmod, esets и xmirrord. В случае их обнаружения троянец не просто завершает процесс антивируса, но с помощью пакетных менеджеров удаляет его файлы и директорию, в которой был установлен антивирусный продукт.

Затем Linux.BtcMine.174 регистрирует себя в автозагрузке, после чего скачивает и запускает на инфицированном устройстве руткит. Этот модуль также выполнен в виде сценария sh и основан на исходном коде, который ранее был опубликован в свободном доступе. Среди функций руткит-модуля можно выделить кражу вводимых пользователем паролей команды su, сокрытие файлов в файловой системе, сетевых соединений и запускаемых процессов. Троянец собирает информацию о сетевых узлах, к которым ранее подключались по протоколу ssh, и пробует заразить их.

Выполнив все эти действия, Linux.BtcMine.174 запускает в системе майнер, предназначенный для добычи криптовалюты Monero (XMR). С интервалом в минуту троянец проверяет, запущен ли этот майнер, и при необходимости автоматически перезапускает его. Также он в непрерывном цикле соединяется с управляющим сервером и скачивает оттуда обновления, если они доступны.

Автор: Softodrom.ru
Дата:
» Оставьте первым свой комментарий

Новости > Безопасность > Новый троянец-майнер для Linux удаляет антивирусы
Все рубрики статей:
Топ-сегодня: Безопасность
Киберпреступники превратили TeamViewer в продвинутого шпиона
Эксперты обнаружили серию кибератак, целью которых являлись госслужащие сразу нескольких стран
Чем Google Chrome хуже, чем Firefox — объясняет «Лаборатория Касперского»
Самый популярный браузер Google Chrome собирает самые разные данные о вас, однако не все известные браузеры придерживаются той же политики
В Сети появился конструктор вымогательского ПО
По словам экспертов, создатели сайта сделали ставку на удобство и скорость работы
Как удалить данные без возможности восстановления
Что такое безвозвратное удаление данных, и как удалить данные с компьютера так, чтобы их нельзя было восстановить
Mail.Ru заподозрили в хранении удаленных писем
"Необходимо одно из двух: ломать не конкретную почту, а непосредственно сервер мейл.ру; приобрести необходимый архив у товарищей, имеющих доступ к системе СОРМ"
Новые статьи: Безопасность
Киберпреступники превратили TeamViewer в продвинутого шпиона
Эксперты обнаружили серию кибератак, целью которых являлись госслужащие сразу нескольких стран
Чем Google Chrome хуже, чем Firefox — объясняет «Лаборатория Касперского»
Самый популярный браузер Google Chrome собирает самые разные данные о вас, однако не все известные браузеры придерживаются той же политики
В Сети появился конструктор вымогательского ПО
По словам экспертов, создатели сайта сделали ставку на удобство и скорость работы
ЦРУ узнало о финансировании Huawei китайской разведкой
США поделились отчетом ЦРУ по Huawei со своими союзниками по разведальянсу Five Eyes
Угонщики украли 100 машин через каршеринг-приложение Car2Go
Злоумышленники таким образом угнали 100 автомобилей Mercedes-Benz, часть из которых позже использовалась при совершении других преступлений

Статистика | Рейтинги | Авторам | Реклама
Copyright © 1999-2019 Softodrom.ru
О перепечатках | Рассылки | Пользовательское соглашение | Политика конфиденциальности | О проекте | Карта сайта
В Опере нет автоматического способа добавить поиск по Софтодрому.
Чтобы вручную добавить поиск по Софтодрому, нужно сделать следующее:
  1. Нажать Ctrl+F12.
  2. Выбрать вкладку «Поиск».
  3. Нажать «Добавить» (Add).
  4. В появившемся окне:
    1. Заполнить название (Softodrom.ru).
    2. Заполнить адрес: https://www.softodrom.ru/Поиск/?text=%s&qs
      Если нет поля «адрес», то кликнуть на «Подробнее».
    3. Остальные поля заполнить по желанию.
  5. Нажать «ОК».