Shares

În acest material o să discutăm despre Plague, un malware Linux care permite atacatorilor conectarea de la distanță prin SSH la stațiile victimelor. În plus, malware-ul șterge apoi toate urmele de conectare.

Ce face Plague

Plague este un malware avansat care vizează sistemele Linux prin manipularea procesului de autentificare SSH. Odată instalat pe un server, acesta permite atacatorilor să se conecteze prin SSH folosind o parolă ascunsă, fără a declanșa alerte sau a lăsa urme în fișierele de log. În plus, malware-ul este capabil să elimine orice urmă a conexiunii prin:

  • ștergerea variabilelor de mediu asociate sesiunilor SSH (SSH_CLIENT, SSH_CONNECTION);
  • suprimarea istoricului comenzilor shell (HISTFILE este direcționat către /dev/null);
  • ascunderea completă a prezenței sale prin tehnici avansate de obfuscare și anti-debugging.

Plague funcționează ca un modul PAM (Pluggable Authentication Module), infiltrându-se în lanțul de autentificare al sistemului. Acest lucru îi oferă un nivel de acces ridicat, făcându-l dificil de detectat și eliminat. Malware-ul poate supraviețui actualizărilor de sistem și modificărilor configurațiilor, ceea ce îl transformă într-o amenințare persistentă pe termen lung.

Descoperirea amenințării

Cercetătorii în securitate au identificat Plague ca fiind activ încă din iulie 2024. Acesta a reușit să treacă neobservat timp de peste un an, inclusiv în scanările VirusTotal, unde mostrele analizate prezentau o rată de detecție 0/66. Modul său de operare, bazat pe infiltrarea profundă în mecanismele sistemului de operare, îl face deosebit de periculos, mai ales în infrastructurile expuse la internet.

Mecanismul de infectare

Plague este livrat sub forma unui modul PAM falsificat, copiat sub un nume similar cu al unei biblioteci legitime, precum libselinux.so.8. Odată integrat în sistem, acest modul preia controlul asupra autentificării SSH și permite accesul direct atacatorului folosind o parolă hardcoded.

Malware-ul este protejat împotriva analizelor statice sau dinamice prin metode precum obfuscarea codului, stringuri criptate și blocarea debugging-ului. Aceste tehnici îngreunează procesul de analiză și detecție, chiar și pentru experți în securitate.

Eliminarea urmelor

Plague este proiectat să nu lase nicio urmă vizibilă în urma sesiunilor SSH. După conectare, malware-ul elimină variabilele de mediu SSH și dezactivează salvarea istoricului comenzilor. Această capacitate îl transformă într-un instrument eficient pentru atacatori care doresc să mențină accesul în sistem fără a fi detectați.

Persistență și adaptabilitate

Plague supraviețuiește modificărilor aduse sistemului, inclusiv reîncărcării configurațiilor PAM sau actualizărilor de pachete. Cercetătorii au identificat variante ale acestui malware compilate pentru mai multe distribuții Linux, inclusiv Debian, Ubuntu și Red Hat (deci și sisteme derivative precum Rocky sau AlmaLinux). Faptul că au fost utilizate diferite versiuni de compilator sugerează o campanie coordonată, menită să afecteze un număr mare de ținte.

Elemente culturale și semnături distincte

Un detaliu interesant este includerea unei replici din filmul Hackers (1995) într-una dintre variantele analizate: „Uh. Mr. The Plague, sir? I think we have a hacker.” Acest element nu influențează funcționalitatea, dar poate oferi indicii despre cultura sau umorul dezvoltatorilor malware-ului.

Riscuri și implicații

Spre deosebire de multe alte malware-uri care operează la nivelul aplicațiilor sau al utilizatorului, Plague acționează direct asupra componentelor de autentificare ale sistemului. Acest nivel profund de acces îl face dificil de detectat și de eliminat. În plus, prin eliminarea urmelor activității și persistarea în sistem, atacatorii pot menține controlul asupra unui server infectat pe termen lung.

Măsuri recomandate

Pentru a preveni infectarea și accesul neautorizat prin astfel de metode, sunt recomandate următoarele măsuri:

  • Auditarea periodică a modulelor PAM și verificarea fișierelor din directoarele /etc/pam.d/ și /lib*/security/;
  • Utilizarea de reguli YARA și scanare comportamentală pentru identificarea modificărilor neautorizate;
  • Activarea autentificării în doi pași (2FA) pentru conexiunile SSH;
  • Limitarea accesului root și aplicarea principiului privilegiului minim;
  • Monitorizarea atentă a logurilor de securitate, inclusiv pentru anomalii legate de SSH;
  • Blocarea accesului SSH din exteriorul rețelei și permiterea acestuia doar prin tunelul VPN securizat.

Concluzie

Plague este un exemplu clar de malware care folosește tehnici sofisticate pentru a evita detecția și pentru a se infiltra în cele mai sensibile zone ale unui sistem Linux.

Prin manipularea autentificării și eliminarea urmelor, acest malware oferă atacatorilor un avantaj semnificativ. Organizațiile și administratorii de sisteme trebuie să implementeze măsuri proactive, să limiteze expunerea serviciilor critice și să actualizeze constant politicile de securitate pentru a preveni astfel de atacuri.

Dacă aveți nevoie de ajutor pentru securizarea infrastructurii companiei, vă stăm la dispoziție.

Zemernett este o companie de externalizare IT care reușește cu succes atât să susțină buna funcționare a infrastructurilor, cât și să implementeze soluții tehnice moderne, punând activ umărul la dezvoltarea IT a companiilor client.

Shares