Руткит SIXZUT скрывает сразу двух агентов: атаки на Gitea связали с инцидентами в HestiaCP

Руткит - это набор инструментов, который скрывает присутствие злоумышленника в системе. Найденный образец настроен на работу с двумя программами: у каждой своё имя и собственный управляющий сервер. При загрузке в привилегированный процесс руткит проверяет, запущены ли оба агента. Если агент не отвечает, он находит нужный исполняемый файл, запускает его в фоновом режиме и начинает маскировать. Из списков каталогов исчезают отдельные записи, не отображаются процессы и сетевые соединения, а команды на завершение работы программы просто игнорируются. Скрытность достигается подменой системных вызовов, поэтому штатные средства мониторинга такие процессы не замечают. Оба агента работают автономно: даже после перезагрузки сервера руткит поднимет их снова.

По данным VirLabs, извлечённый ими образец руткита содержал пустую таблицу сокрытия, то есть не управлял ни одним агентом. Найденная конфигурация заполнена: две записи с именами, адресами управляющих серверов и ожидаемыми путями к исполняемым файлам. Имена оказались знакомыми. 24 мая 2026 года один из администраторов HestiaCP описал на профильном форуме несанкционированный доступ через веб-терминал, случившийся тремя днями раньше. Среди перечисленных артефактов были файл агента с именем первого из двух, посторонняя системная библиотека и файл настройки, заставляющий систему подгружать её в чужие процессы. 12 июня другой участник форума упомянул второе имя. Оба пути совпадают с записями в таблице руткита, а библиотека входит в перечень того, что руткит прячет.

Дополнительное подтверждение дал поиск по управляющим адресам. Один из них привёл к очередному образцу JITTERLY с совпадающими параметрами связи, и внутри него обнаружился ещё один экземпляр руткита. Раньше, в июле, разобрали неустановленный образец для Linux, связанный с адресом из той же сети доменов. Позже в нём заметили сходство с протоколом агента Gopher, который применяет платформа Adaptix. Отчёт GreyNoise от 21 сентября связал Red Heron с той же инфраструктурой, тем же вредоносным ПО и той же эксплуатационной активностью, оговорившись, что субъекты могут быть родственными, а не одними и теми же. Во время июньских попыток против устройств UniFi зафиксировали программу скрытого доступа (бэкдор), обращавшуюся к третьему адресу из этой сети. Каждый новый образец добавляет адрес в общую сеть, где домены отличаются лишь служебным префиксом. Значит, активность выходила за пределы Gitea и раньше.

Два агента собраны по одной схеме, но ведут себя по-разному. Настройки соединения совпадают почти полностью: одинаковый тип и одинаковое число повторов, которое на практике означает бесконечность. Отличаются периодичность сеансов и разброс. Первый агент выходит на связь примерно раз в минуту, второй - раз в пять-десять минут. Если сервер не отвечает, повтор следует через тридцать секунд. Канал связи обратный и зашифрованный: при первом обращении программа передаёт свежий сеансовый ключ, защищённый встроенным, а дальше пользуется только сеансовым. Перед обменом сервер отправляет короткое приветствие фиксированной длины. Номера портов не стоит принимать за признак веб-трафика или защищённого соединения.

Оба агента вычисляют отпечаток узла одинаково. Они складывают имя сетевой службы, идентификатор машины, имя пользователя и адрес сетевого адаптера, а от результата берут криптографический отпечаток. Так оператор понимает, что перед ним уже знакомая система. Совпадение отпечатков указывает на то, что агенты ставятся на одни и те же узлы, а не на разные. Управляющие команды позволяют проверить установку компонента, удалить его, перечислить группы правил сокрытия, обновить их и снять по общему признаку. Возможность менять правила сокрытия удалённо объясняет, почему руткит и агент описывают как единый инструмент. Масштаб последствий известен частично: у компании из сферы промышленной автоматизации похитили сотни репозиториев, включая код АСУ ТП (SCADA) и человеко-машинных интерфейсов (HMI), и пытались выгрузить полные образы виртуальных машин. В отчёте GreyNoise речь идёт о краже более восемнадцати тысяч конфиденциальных записей государственных органов.

Наиболее вероятная роль оператора - не отдельные взломы ради наживы, а поддержание инфраструктуры. Скомпрометированные серверы превращаются в промежуточные узлы и прокси, а постоянный доступ и перенаправление трафика помогают строить сеть ретрансляторов. Те же возможности пригождаются и в обычных вторжениях, поэтому граница между ними размыта. Массовая эксплуатация известных уязвимостей даёт дешёвый доступ к тысячам серверов, и, наткнувшись на интересную цель, злоумышленник почти наверняка заберёт данные. Защита здесь простая: обновлять Gitea и панели управления, проверять системные библиотеки на посторонние вставки, включать двухфакторную аутентификацию и следить за исходящими соединениями серверов, которые не должны их инициировать.