搜索

[3251] 2016-10-22_FakeFile：无需root权限的新型Linux木马后门

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-16
2016-10-22_FakeFile：无需root权限的新型Linux木马后门 F a k e F i l e ： 无 需 r o o t 权 限 的 新 型 L i n u x 木 马 后 门 原 创   E 安 全   E 安 全   2 0 1 6 - 1 0 - 2 2 该 木 马 仅 指 向 桌 面 系 统 ， 而 非 服 务 器 或 者 物 联 网 设 备 。 该 木 马 仅 指 向 桌 面 系 统 ， 而 非 服 务 器 或 者 物 联 网 设 备 。 E 安 全 安 全 1 0 月 月 2 2 日 讯 日 讯   恶 意 软 件 开 发 者 们 开 始 将 矛 头 指 向 恶 意 软 件 开 发 者 们 开 始 将 矛 头 指 向 L i n u x 计 算 机 ， 更 准 确 地 说 是 针 对 桌 面 系 统 而 非 服 务 器 。 此 次 其 利 用 的 新 木 马 名 计 算 机 ， 更 准 确 地 说 是 针 对 桌 面 系 统 而 非 服 务 器 。 此 次 其 利 用 的 新 木 马 名 为 为 F a k e F i l e ， 目 前 已 经 被 应 用 于 实 时 攻 击 。 ， 目 前 已 经 被 应 用 于 实 时 攻 击 。 俄 罗 斯 杀 毒 软 件 供 应 商 D r .   W e b 于 今 年 十 月 发 现 了 这 一 全 新 木 马 。 该 公 司 的 恶 意 软 件 分 析 师 们 表 示 ， 该 木 马 目 前 被 归 档 为 P D F 、 微 软 O f f i c e 或 者 O p e n O f f i c e 文 件 进 行 传 播 。 木 马 并 不 针 对 各 木 马 并 不 针 对 各 o p e n S U S E 发 行 版 发 行 版 感 染 活 动 始 于 用 户 打 开 该 文 件 之 时 。 该 木 马 会 将 自 身 复 制 至 " <   H O M E   > / . g c o n f / a p p s / g n o m e - c o m m o n / g n o m e - c o m m o n " 并 借 此 开 始 运 作 ， 而 后 打 开 一 个 诱 饵 文 档 以 伪 造 正 常 操 作 结 果 ， 这 也 是 其 名 称 “ F a k e F i l e ” 的 由 来 。 该 木 马 还 会 将 自 身 的 一 条 快 捷 方 式 添 加 至 用 户 的 . p r o f i l e 与 . b a s h _ p r o f i l e 文 件 当 中 ， 这 意 味 着 其 能 够 在 P C 重 启 时 自 动 被 加 入 引 导 。 奇 怪 的 是 ， 该 木 马 的 源 代 码 中 存 在 一 条 特 殊 的 规 则 ， 即 在 发 现 当 前 L i n u x 发 行 版 为 o p e n S U S E 时 即 停 止 感 染 传 播 。 这 种 作 法 的 可 能 理 由 之 一 在 于 ， 恶 意 软 件 作 者 本 身 使 用 的 就 是 o p e n S U S E 发 行 版 — — 但 这 仅 仅 只 是 推 测 ， 且 目 前 此 理 论 无 法 进 行 验 证 。 F a k e F i l e 是 一 种 完 全 成 熟 的 后 门 木 马 是 一 种 完 全 成 熟 的 后 门 木 马 一 旦 初 步 操 作 完 成 ， 真 正 “ 有 趣 ” 的 部 分 将 就 此 开 始 — — F a k e F i l e 会 联 络 其 命 令 与 控 制 服 务 器 ， 旨 在 请 求 进 一 步 指 令 。 根 据 该 木 马 源 代 码 中 发 现 的 线 索 ， 这 一 木 马 能 够 执 行 一 系 列 操 作 ， 包 括 对 文 件 进 行 重 命 名 或 者 删 除 、 将 某 一 文 件 或 者 文 件 夹 的 全 部 内 容 发 送 至 命 令 与 控 制 服 务 器 、 将 某 文 件 夹 内 的 文 件 清 单 发 送 至 命 令 与 控 制 服 务 器 ， 或 者 创 建 新 的 文 件 与 文 件 夹 。
另 外 ， 该 木 马 还 能 够 运 行 文 件 、 运 行 s h e l l 命 令 、 面 向 必 要 文 件 及 文 件 夹 获 取 或 者 设 定 权 限 、 终 止 其 进 程 或 者 将 自 身 从 受 感 染 主 机 内 移 除 。 F a k e F i l e   并 不 需 要 并 不 需 要 r o o t 访 问 权 限 访 问 权 限 最 令 人 担 忧 的 事 实 在 于 ， F a k e F i l e 并 不 需 要 r o o t 访 问 权 限 即 可 执 行 上 述 操 作 — — 具 体 来 讲 ， 其 只 需 要 当 前 用 户 权 限 即 可 顺 利 完 成 任 务 。 过 去 一 年 以 来 ， 针 对 L i n u x 平 台 的 木 马 数 量 开 始 显 著 增 加 ， 但 在 多 数 情 况 下 ， 其 主 要 面 向 运 行 有 L i n u x 操 作 系 统 的 L i n u x 服 务 器 或 者 物 联 网 设 备 。 安 全 厂 商 很 少 遇 到 针 对 L i n u x 桌 面 环 境 的 木 马 。 截 至 本 文 撰 稿 时 ， D r .   W e b 公 司 亦 没 有 确 定 该 木 马 的 传 播 方 法 — — 但 垃 圾 邮 件 明 显 嫌 疑 最 大 ， 因 为 立 足 W i n d o w s 以 及 M a c 设 备 的 恶 意 软 件 作 者 通 常 会 利 用 垃 圾 邮 件 及 O f f i c e 相 关 文 件 作 为 后 门 木 马 的 主 要 散 布 手 段 。 E 安 全 注 ： 本 文 系 E 安 全 独 家 编 译 报 道 ， 转 载 请 联 系 授 权 ， 并 保 留 出 处 与 链 接 ， 不 得 删 减 内 容 。 联 系 方 式 ： ①   微 信 号 z h u - g e l i a n g   ② 邮 箱 e a p p @ e a s y a q . c o m @ E 安 全 ， 最 专 业 的 前 沿 网 络 安 全 媒 体 和 产 业 服 务 平 台 ， 每 日 提 供 优 质 全 球 网 络 安 全 资 讯 与 深 度 思 考 ， 欢 迎 关 注 微 信 公 众 号 「 E 安 全 」 （ E A Q a p p ） ， 或 登 E 安 全 门 户 网 站 w w w . e a s y a q . c o m   ,   查 看 更 多 精 彩 内 容 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理