Avast обнаружили новый руткит Syslogk для ядра, находящийся в разработке.
Syslogk Rootkit
Помимо того, что Syslogk скрывает себя, затрудняя обнаружение при внедрении, он может полностью скрыть вредоносную полезную нагрузку, выполняя следующие действия:
- Функция hk_proc_readdir руткита скрывает каталоги, содержащие вредоносные файлы, эффективно скрывая их от операционной системы.
- Вредоносные процессы скрываются с помощью hk_getpr - смеси функций Adore-Ng для скрытия процессов.
- Вредоносная полезная нагрузка скрыта от таких инструментов, как Netstat; при запуске она не появляется в списке служб. Для этого руткит использует функцию hk_t4_seq_show.
- Вредоносная полезная нагрузка не работает постоянно. Злоумышленник удаленно выполняет ее по требованию, когда специально созданный TCP-пакет (подробности ниже) отправляется на зараженную машину, которая проверяет трафик, устанавливая хук netfilter.
- Злоумышленник также может удаленно остановить выполнение полезной нагрузки. Для этого необходимо использовать жестко закодированный ключ в рутките и знать некоторые поля магического пакета, используемого для удаленного запуска полезной нагрузки.
Руткит Syslogk (и полезная нагрузка Rekoobe) отлично согласовываются при скрытом использовании в сочетании с поддельным SMTP-сервером. Бэкдор, который не загружается до тех пор, пока на машину не будут отправлены магические пакеты. При запросе он выглядит как легитимная служба, скрытая в памяти, скрытая на диске, удаленно "магически" исполняемая, скрытая в сети. Даже если он будет обнаружен при сканировании сетевого порта, он все равно будет казаться легитимным SMTP-сервером.
Для компрометации операционной системы и размещения упомянутых скрывающих функций Syslogk использует уже известные руткит-функции set_addr_rw и set_addr_ro, которые добавляют или удаляют права на запись в структуру Page Table Entry (PTE).
После добавления разрешений на запись в PTE руткит может подключить функции, объявленные во внутренней структуре руткита hks.
Indicators of Compromise
SHA256
- 68facac60ee0ade1aa8f8f2024787244c2584a1a03d10cda83eeaf1258b371f2
- 11edf80f2918da818f3862246206b569d5dcebdc2a7ed791663ca3254ede772d
- fa94282e34901eba45720c4f89a0c820d32840ae49e53de8e75b2d6e78326074
- fd92e34675e5b0b8bfbc6b1f3a00a7652e67a162f1ea612f6e86cca846df76c5
- 12c1b1e48effe60eef7486b3ae3e458da403cd04c88c88fab7fca84d849ee3f5
- 06778bddd457aafbc93d384f96ead3eb8476dc1bc8a6fbd0cd7a4d3337ddce1e
- f1a592208723a66fa51ce1bc35cbd6864e24011c6dc3bcd056346428e4e1c55d
- 55dbdb84c40d9dc8c5aaf83226ca00a3395292cc8f884bdc523a44c2fd431c7b
- df90558a84cfcf80639f32b31aec187b813df556e3c155a05af91dedfd2d7429
- 160cfb90b81f369f5ba929aba0b3130cb38d3c90d629fe91b31fdef176752421
- b4d0f0d652f907e4e77a9453dcce7810b75e1dc5867deb69bea1e4ecdd02d877
- 3a6f339df95e138a436a4feff64df312975a262fa16b75117521b7d6e7115d65
- 74699b0964a2cbdc2bc2d9ca0b2b6f5828b638de7c73b1d41e7fe26cfc2f3441
- 7a599ff4a58cb0672a1b5e912a57fcdc4b0e2445ec9bc653f7f3e7a7d1dc627f
- f4e3cfeeb4e10f61049a88527321af8c77d95349caf616e86d7ff4f5ba203e5f
- 31330c0409337592e9de7ac981cecb7f37ce0235f96e459fefbd585e35c11a1a
- c6d735b7a4656a52f3cd1d24265e4f2a91652f1a775877129b322114c9547deb
- 2e81517ee4172c43a2084be1d584841704b3f602cafc2365de3bcb3d899e4fb8
- b22f55e476209adb43929077be83481ebda7e804d117d77266b186665e4b1845
- a93b9333a203e7eed197d0603e78413013bd5d8132109bbef5ef93b36b83957c
- 870d6c202fcc72088ff5d8e71cc0990777a7621851df10ba74d0e07d19174887
- ca2ee3f30e1c997cc9d8e8f13ec94134cdb378c4eb03232f5ed1df74c0a0a1f0
- 9d2e25ec0208a55fba97ac70b23d3d3753e9b906b4546d1b14d8c92f8d8eb03d
- 29058d4cee84565335eafdf2d4a239afc0a73f1b89d3c2149346a4c6f10f3962
- 7e0b340815351dab035b28b16ca66a2c1c7eaf22edf9ead73d2276fe7d92bab4
- af9a19f99e0dcd82a31e0c8fc68e89d104ef2039b7288a203f6d2e4f63ae4d5c
- 6f27de574ad79eb24d93beb00e29496d8cfe22529fc8ee5010a820f3865336a9
- d690d471b513c5d40caef9f1e37c94db20e6492b34ea6a3cddcc22058f842cf3
- e08e241d6823efedf81d141cc8fd5587e13df08aeda9e1793f754871521da226
- da641f86f81f6333f2730795de93ad2a25ab279a527b8b9e9122b934a730ab08
- e3d64a128e9267640f8fc3e6ba5399f75f6f0aca6a8db48bf989fe67a7ee1a71
- d3e2e002574fb810ac5e456f122c30f232c5899534019d28e0e6822e426ed9d3
- 7b88fa41d6a03aeda120627d3363b739a30fe00008ce8d848c2cbb5b4473d8bc
- 50b73742726b0b7e00856e288e758412c74371ea2f0eaf75b957d73dfb396fd7
- 8b036e5e96ab980df3dca44390d6f447d4ca662a7eddac9f52d172efff4c58f8
- 8b18c1336770fcddc6fe78d9220386bce565f98cc8ada5a90ce69ce3ddf36043
- f04dc3c62b305cdb4d83d8df2caa2d37feeb0a86fb5a745df416bac62a3b9731
- 72f200e3444bb4e81e58112111482e8175610dc45c6e0c6dcd1d2251bacf7897
- d129481955f24430247d6cc4af975e4571b5af7c16e36814371575be07e72299
- 6fc03c92dee363dd88e50e89062dd8a22fe88998aff7de723594ec916c348d0a
- fca2ea3e471a0d612ce50abc8738085f076ad022f70f78c3f8c83d1b2ff7896b
- 2fea3bc88c8142fa299a4ad9169f8879fc76726c71e4b3e06a04d568086d3470
- 178b23e7eded2a671fa396dd0bac5d790bca77ec4b2cf4b464d76509ed12c51a
- 3bff2c5bfc24fc99d925126ec6beb95d395a85bc736a395aaf4719c301cbbfd4
- 14a33415e95d104cf5cf1acaff9586f78f7ec3ffb26efd0683c468edeaf98fd7
- 8bb7842991afe86b97def19f226cb7e0a9f9527a75981f5e24a70444a7299809
- 020a6b7edcff7764f2aac1860142775edef1bc057bedd49b575477105267fc67
- 6711d5d42b54e2d261bb48aa7997fa9191aec059fd081c6f6e496d8db17a372a
- 48671bc6dbc786940ede3a83cc18c2d124d595a47fb20bc40d47ec9d5e8b85dc
- b0d69e260a44054999baa348748cf4b2d1eaab3dd3385bb6ad5931ff47a920de
- e1999a3e5a611312e16bb65bb5a880dfedbab8d4d2c0a5d3ed1ed926a3f63e94
- fa0ea232ab160a652fcbd8d6db8ffa09fd64bcb3228f000434d6a8e340aaf4cb
- 11edf80f2918da818f3862246206b569d5dcebdc2a7ed791663ca3254ede772d
- 73bbabc65f884f89653a156e432788b5541a169036d364c2d769f6053960351f
- 8ec87dee13de3281d55f7d1d3b48115a0f5e4a41bfbef1ea08e496ac529829c8
- 8285ee3115e8c71c24ca3bdce313d3cfadead283c31a116180d4c2611efb610d
- 958bce41371b68706feae0f929a18fa84d4a8a199262c2110a7c1c12d2b1dce2
- 38f357c32f2c5a5e56ea40592e339bac3b0cabd6a903072b9d35093a2ed1cb75
- bcc3d47940ae280c63b229d21c50d25128b2a15ea42fe8572026f88f32ed0628
- 08a1273ac9d6476e9a9b356b261fdc17352401065e2fc2ad3739e3f82e68705a
- cf525918cb648c81543d9603ac75bc63332627d0ec070c355a86e3595986cbb3
- 42bc744b22173ff12477e57f85fa58450933e1c4294023334b54373f6f63ee42
- 337674d6349c21d3c66a4245c82cb454fea1c4e9c9d6e3578634804793e3a6d6
- 4effa5035fe6bbafd283ffae544a5e4353eb568770421738b4b0bb835dad573b
- 5b8059ea30c8665d2c36da024a170b31689c4671374b5b9b1a93c7ca47477448
- bd07a4ccc8fa67e2e80b9c308dec140ca1ae9c027fa03f2828e4b5bdba6c7391
- bf09a1a7896e05b18c033d2d62f70ea4cac85e2d72dbd8869e12b61571c0327e
- 79916343b93a5a7ac7b7133a26b77b8d7d0471b3204eae78a8e8091bfe19dc8c
- c32e559568d2f6960bc41ca0560ac8f459947e170339811804011802d2f87d69
- 864c261555fce40d022a68d0b0eadb7ab69da6af52af081fd1d9e3eced4aee46
- 275d63587f3ac511d7cca5ff85af2914e74d8b68edd5a7a8a1609426d5b7f6a9
- 031183e9450ad8283486621c4cdc556e1025127971c15053a3bf202c132fe8f9