Эксперты по кибербезопасности обнаружили новую сложную угрозу для операционных систем Linux - бэкдор VShell, написанный на Go и использующий уникальный метод заражения через имена файлов в RAR-архивах. Это вредоносное ПО, связываемое с китайскими APT-группами, эксплуатирует распространённые практики shell-скриптования для выполнения вредоносных Bash-полезных нагрузок, доставляя скрытный резидентный в памяти бэкдор. Он предоставляет злоумышленникам полный удалённый контроль, возможность выполнения файловых операций и создания сетевых туннелей. Исследование угрозы было недавно опубликовано компанией Trellix.
Описание
Атака начинается со спам-рассылки, содержащей RAR-архив, замаскированный под опрос о косметических продуктах с предложением небольшого денежного вознаграждения. В отличие от традиционной фишинг-атаки, письмо не нацелено на кражу учётных данных, а рассчитывает на любопытство пользователя, который распакует архив. Внутри архива находится файл со специально сформированным именем, содержащим Base64-кодированную Bash-команду. Это имя файла, при обработке стандартными shell-операциями, такими как "ls", "find" или "eval", автоматически запускает выполнение команды без какого-либо взаимодействия с пользователем и без необходимости наличия прав на выполнение.
Процесс заражения состоит из трёх этапов. На первом этапе вредоносное имя файла декодируется и передаётся в Bash, выполняя команду для загрузки второго Bash-сценария с жёстко заданного C2-сервера (Command and Control - сервер управления). Этот скрипт определяет архитектуру системы (x86, x64, ARM, ARM64) и загружает соответствующий ELF-бинарник. Второй этап обеспечивает устойчивость выполнения, пытаясь запустить бинарник в нескольких доступных для записи каталогах с использованием "nohup" для фонового выполнения и подавления вывода. На третьем этапе ELF-бинарник получает с сервера полезную нагрузку, зашифрованную с помощью XOR, расшифровывает её в памяти и выполняет с помощью "fexecve()", что позволяет избежать создания артефактов на диске. Финальная нагрузка, VShell, маскируется под поток ядра, чтобы избежать обнаружения.
Возможности VShell включают доступ через обратную оболочку (reverse shell), загрузку и выгрузку файлов, управление процессами и перенаправление TCP/UDP-портов, что делает его универсальным инструментом для пост-эксплуатации. Его написание на Go обеспечивает совместимость с различными архитектурами Linux, а использование XOR-шифрования для общения с C2 и выполнение исключительно в памяти повышает его скрытность. Бэкдор также реализует механизм защиты от повторного заражения, проверяя наличие маркерного файла.
Атака, основанная на внедрении команд через имена файлов, эксплуатирует распространённую уязвимость в shell-скриптах, которые не проверяют и не обеззараживают имена файлов при операциях вроде "eval "echo $f"" или "ls | while read f". Традиционные антивирусные средства часто не справляются с обнаружением этой угрозы, поскольку имена файлов редко сканируются, а статический анализ может пропустить закодированные полезные нагрузки. Поведенческое обнаружение также является сложной задачей, если системы не отслеживают необычную активность в shell или подозрительный C2-трафик. Появление VShell подчёркивает растущую изощрённость вредоносного ПО для Linux и указывает на необходимость развития advanced-защиты от безфайловых угроз, эксплуатирующих доверенные системные утилиты.
Активность вокруг VShell связывают с несколькими китайскими APT-группами. Группа UNC5174 (также известная как Uteus), классифицируемая как спонсируемая государством, была замечена в использовании VShell в целевых кампаниях. Группа известна использованием уязвимостей в программном обеспечении, таком как ConnectWise ScreenConnect и SAP NetWeaver, для доставки этого бэкдора наряду с другими полезными нагрузками. Мотивацией группы считается сбор разведданных для правительства Китая, а также возможная продажа доступа к скомпрометированным окружениям на теневых рынках.
Исследователи также обнаружили совпадения в использовании VShell и инфраструктуры, связанной с группой Earth Lamia, в ходе кампании «Operation DRAGONCLONE», нацеленной на китайскую телекоммуникационную компанию. В этой кампании VShell использовался совместно с другим вредоносным ПО, VELETRIX. Группа CL-STA-0048, которую относят к связанной с Министерством государственной безопасности Китая (MSS) или его подрядчиками, применяла VShell в атаках через уязвимость в SAP NetWeaver. Ещё одна группа, UNC5221, использовала VShell в связке с Rust-инструментом KrustyLoader для эксплуатации той же уязвимости SAP, развёртывая веб-шеллы для доставки дополнительных нагрузок. Деятельность группы согласуется с крупномасштабным сканированием интернета и кампаниями по эксплуатации уязвимостей систем на базе SAP NetWeaver.
Индикаторы компрометации
