Специалисты BlackBerry и Intezer обнаружили новый опасный вредонос для операционных систем Linux под названием Symbiote. В отличие от традиционных вирусов и троянов, Symbiote ведет себя как настоящий паразит, внедряясь в работающие процессы и скрывая свою активность от системных администраторов и средств защиты.
Описание
Как работает Symbiote?
Symbiote - это не отдельный исполняемый файл, а динамическая библиотека (SO), которая заражает процессы через LD_PRELOAD - механизм, позволяющий загружать пользовательские библиотеки перед системными. Это позволяет вредоносу внедряться во все запущенные программы, перехватывать вызовы функций и маскировать свое присутствие.
После заражения Symbiote предоставляет злоумышленнику широкий набор возможностей:
- Руткит-функционал - скрывает процессы, файлы и сетевую активность, связанную с вредоносной деятельностью.
- Кражу учетных данных - перехватывает логины и пароли, вводимые через SSH и SCP.
- Удаленный доступ - позволяет атаковающему входить в систему под любым пользователем с использованием жестко заданного пароля.
- Фильтрацию сетевого трафика - маскирует вредоносные соединения, чтобы их не обнаружили инструменты мониторинга.
Методы скрытности
Одна из главных особенностей Symbiote - его способность оставаться незаметным даже при ручном анализе системы. Он использует несколько техник:
- Перехват функций libc и libpcap - модифицирует результаты системных вызовов, чтобы скрыть файлы, процессы и сетевые соединения.
- Фильтрация через Berkeley Packet Filter (BPF) - внедряет собственный байткод в ядро Linux, чтобы отбрасывать пакеты, связанные с вредоносной активностью.
- Маскировка в DNS-запросах - передает украденные данные через DNS-трафик, что затрудняет обнаружение эксфильтрации.
Кто стал жертвой?
Первые образцы Symbiote были замечены в ноябре 2021 года. Анализ доменов, используемых для C2-серверов, указывает на то, что основной целью атак стали финансовые организации в Латинской Америке, в частности банки Бразилии.
Как защититься?
Поскольку Symbiote не оставляет следов на диске и работает исключительно в памяти, традиционные антивирусные решения могут его не обнаружить. Для защиты эксперты рекомендуют:
- Контролировать переменные окружения (LD_PRELOAD, LD_TRACE_LOADED_OBJECTS).
- Использовать инструменты анализа памяти (Volatility, Rekall).
- Мониторить необычные DNS-запросы и сетевую активность.
- Обновлять системы и применять строгие политики доступа.
Symbiote демонстрирует, насколько изощренными становятся атаки на Linux-системы, которые долгое время считались более защищенными, чем Windows. Его паразитическая природа делает его особенно опасным, поскольку он может долгое время оставаться незамеченным, собирая конфиденциальные данные и предоставляя злоумышленникам полный контроль над зараженными серверами.
Индикаторы компрометации
