«Доктор Веб» вынес очередное предупреждение о появлении многофункционального Linux-трояна, который получил опознавательный индекс Linux.BackDoor.Xnote.1.
Для распространения вредоноса злоумышленники подбирают по SSH-протоколу пароль на атакуемом ПК. При этом установка зловреда в Linux-систему происходит, только если система запущена от имени суперпользователя.
После проникновения троян приступает к получению инструкций, для чего вредонос последовательно производит опрос командных серверов, имеющихся в его базе.
Сами пакеты передаются от трояна к серверу и обратно в сжатом по технологии zlib виде.
Свою работу троян начинает с отправки на управляющий сервер данных о зараженной системе. Отправив информацию вредонос переходит в ожидающий режим вплоть до получения указаний C&C-сервера. Если в поступившей команде содержится приказ на выполнение определенного задания, то выполнение происходит в отдельном процессе, устанавливающем отдельное соединение с сервером злоумышленников.
В процессе работы злоумышленники могут поручить вредоносу выполнение, к примеру, DDoS-атаки на определенный узел (среди возможных вариантов нападений имеются NTP Amplification SYN, или HTTP, или UDP Flood), или обновление исполняемого файла бэкдора, или произвести запись информации, или же произвести самоудаление.
Помимо этого троян может создавать, отправлять, принимать или переименовывать файлы, запускать их и производить определенные действия с программными каталогами.
Комментариев пока нет