搜索

[9755] 2016-01-20_Linux新型木马Ekocms出现，会截屏、录音

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-18
2016-01-20_Linux新型木马Ekocms出现，会截屏、录音 L i n u x 新 型 木 马 E k o c m s 出 现 ， 会 截 屏 、 录 音 亲 爱 的 兔 子   F r e e B u f   2 0 1 6 - 0 1 - 2 0 俄 罗 斯 杀 软 厂 商 俄 罗 斯 杀 软 厂 商 D r . W e b 近 日 发 现 了 近 日 发 现 了 L i n u x 平 台 新 型 木 马 平 台 新 型 木 马 L i n u x . E k o c m s . 1 。 目 前 从 截 获 的 木 马 样 本 来 看 ， 该 木 马 能 够 截 。 目 前 从 截 获 的 木 马 样 本 来 看 ， 该 木 马 能 够 截 屏 和 录 制 音 频 文 件 ， 并 发 送 给 远 程 服 务 器 。 屏 和 录 制 音 频 文 件 ， 并 发 送 给 远 程 服 务 器 。 新 型 木 马 可 以 截 屏 作 业 新 型 木 马 可 以 截 屏 作 业 该 新 型 木 马 L i n u x . E k o c m s 于 数 日 前 被 发 现 ， L i n u x . E k o c m s 目 前 主 要 威 胁 运 行 L i n u x 系 统 的 计 算 机 用 户 ， 在 去 年 恶 意 勒 索 程 序 L i n u x . E n c o d e r . 1 以 及 L i n u x   X O R   D D o S 已 经 造 成 了 不 少 问 题 。 L i n u x . E n c o d e r ， 主 要 针 对 寄 存 网 站 或 者 代 码 仓 库 的 网 页 开 发 环 境 。 一 旦 受 害 人 的 L i n u x 机 器 里 运 行 L i n u x . E n c o d e r . 1 。 并 执 行 成 功 ， 这 款 木 马 会 在 / h o m e 、 / r o o t 、 / v a r / l i b / m y s q l 这 几 个 目 录 下 进 行 遍 历 文 件 ， 试 图 加 密 里 面 的 文 件 内 容 。 如 W i n d o w s 下 的 勒 索 软 件 一 样 ， 它 会 使 用 A E S （ 某 对 称 密 钥 加 密 算 法 ） 对 这 些 文 件 内 容 进 行 加 密 ， 这 期 间 并 不 会 对 系 统 资 源 占 用 过 大 。 这 个 A E S 对 称 密 钥 会 用 R S A （ 某 非 对 称 加 密 算 法 ） 加 密 ， 然 后 用 A E S 初 始 化 的 向 量 去 加 密 文 件 。 一 旦 这 些 文 件 被 加 密 ， 木 马 会 尝 试 蔓 延 到 系 统 根 目 录 。 它 只 需 要 跳 过 重 要 的 系 统 文 件 ， 所 以 加 密 后 的 操 作 系 统 是 能 够 正 常 启 动 的 。 后 来 安 全 研 究 人 员 发 现 了 一 个 漏 洞 ， 可 以 恢 复 被 加 密 的 文 件 ， 而 且 不 需 要 支 付 赎 金 。 通 过 对 代 码 的 分 析 可 知 该 勒 索 软 件 需 要 获 得 r o o t 级 别 的 权 限 。 L i n u x   X O R   D D o S 主 要 通 过 感 染 3 2 位 和 6 4 位 的 L i n u x 系 统 ， 通 过 安 装 r o o t k i t 来 隐 藏 自 身 ， 并 可 通 过 D D o S 攻 击 形 成 僵 尸 网 络 。 根 据 D r . W e b 的 描 述 ， 这 种 新 型 木 马 属 于 间 谍 软 件 家 族 的 一 员 ， 同 时 这 个 木 马 能 在 被 感 染 电 脑 中 进 行 截 屏 作 业 ， 每 隔 3 0 秒 进 行 一 次 ， 然 后 发 给 远 程 服 务 器 。 这 些 截 图 都 先 保 存 在 两 个 相 同 的 文 件 夹 中 ， 但 如 果 这 些 文 件 夹 不 存 在 ， 木 马 会 在 需 要 的 时 候 自 己 创 建 。 你 的 L i n u x 没 安 装 杀 毒 软 件 ， 可 以 直 接 到 以 下 两 个 文 件 夹 中 来 确 认 你 是 否 已 经 被 感 染 该 木 马 ： -   $ H O M E / $ D A T A / . m o z i l l a / f i r e f o x / p r o f i l e d -   $ H O M E / $ D A T A / . d r o p b o x / D r o p b o x C a c h e
具 体 细 节 还 未 透 露 具 体 细 节 还 未 透 露 截 屏 的 图 片 文 件 格 式 在 默 认 情 况 下 为 J P E G ， 文 件 名 包 含 截 屏 时 间 。 如 果 你 的 电 脑 不 能 保 存 该 格 式 的 图 片 ， 木 马 会 用 B P M 格 式 保 存 截 图 。 L i n u x . E k o c m s 需 要 定 期 上 传 文 件 ， 主 要 通 过 一 个 网 络 代 理 连 接 c & c 服 务 器 ， 恶 意 攻 击 者 在 木 马 的 代 码 里 硬 编 码 写 上 C & C 服 务 器 的 I P 地 址 ， 所 有 截 图 会 被 加 密 上 传 到 远 程 服 务 器 ， 因 此 第 三 方 工 具 要 想 使 用 反 向 工 具 破 译 木 马 行 为 ， 也 存 在 一 定 难 度 。 目 前 来 看 ， L i n u x . E k o c m s 是 一 款 收 集 信 息 的 木 马 工 具 ， 允 许 攻 击 者 获 取 目 标 主 机 的 上 网 行 为 。 但 目 前 D r . W e b 安 全 专 家 并 没 有 透 露 该 木 马 是 如 何 实 现 感 染 L i n u x 系 统 用 户 的 方 式 。 * 参 考 来 源 ： s e c u r i t y w e e k 、 s o f t p e d i a ， F B 小 编 亲 爱 的 兔 子 编 译 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ) 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理