Linux-brugere rammes af mystisk drive by-rootkit

Det står ikke klart, om et nyt rootkit mod Linux er del af konventionel pengemotiveret datakriminalitet eller politisk motiveret malware.

Computerworld News Service: Sikkerhedsanalytikere har opdaget et tilsyneladende eksperimentelt Linux-rootkit designet til at inficere sit meget begrænsede udvalg af ofre ved hjælp af et klassisk drive by-angreb via websteder.

Rootkittet blev offentliggjort anonymt 13. november på Full Disclosure af ejeren af et websted, der havde været offer for angrebet.

Det er siden blevet bekræftet af CrowdStrike og Kaspersky Lab, at ofrene inficeres ved hjælp af en usædvanlig form for injektion af en iframe.

Rootkittet er rettet specifikt mod den seneste 64-bit Debian Squeezy kernel (2.6.32-5) og kaldes af Kaspersky Lab "Rootkit.Linux.Snakso.a".

Efter at have forsøgt at trænge ind i vigtige kernel-funktioner og skjule sine egne tråde går Snakso i gang med at kapre systemet.

Det står ikke klart, hvad malwarens specifikke formål er, men analytikerne vurderer, at der er tale om et konventionelt formål frem for et politisk.

Rootkittet ser ud til at være ufærdig, da programmeringen mangler en del finpudsning.

Er stadig under udvikling
Malwarens relativt store binære på 500 kilobyte og det, at den indeholder debug-kode, er yderligere tegn på, at den stadig er under udvikling.

Lige så væsentligt som dens design er spørgsmålet om, hvor den kommer fra.

Analytikeren fra CrowdStrike vurderer, at Rusland er det mest sandsynlige ophav.

Hvis det er tilfældet, så er den fra en verden af professionelle datakriminelle.

"I lyset af at dette rookit bruges til ikke-selektivt at injicere iframes ind i svar fra nginx-webservere, virker det sandsynligt, at rootkittet er del af en generel datakriminel operation og ikke et målrettet angreb," argumenterer CrowdStrike.

Dog kunne dette rootkit ifølge CrowdStrike også være til et Waterhole-angreb, der er et angreb mod et websted, der hovedsageligt besøges af en bestemt gruppe besøgende, med det formål at ramme netop denne gruppe.

Og det er på dette tidspunkt i enhver historie om malware mod Linux, at vi påpeger kompleksiteten involveret i at gå efter denne platform for ikke at nævne det forsvindende lille antal dokumenterede eksempler.

Det seneste eksempel var trojaneren Wirenet i august, der stjal kodeord i browseren og som blev opdaget af det russiske it-sikkerhedsfirma Dr Web.

Andre eksempler har været baseret på Java for at ramme på tværs af platforme.

Det er dog ikke til at komme udenom, at kriminelle nu nærer en mere end blot forbigående interesse for platformen og dens administrator-dominerede brugerbase.

"Selvom dette rootkit stadig er i en tidlig udviklingsfase, så viser det en ny tilgang til drive by-download og vi kan afgjort forvente at se mere af denne form for malware i fremtiden," advarer Marta Janus fra Kaspersky Lab.

Oversat af Thomas Bøndergaard


Ytringer på debatten er afsenders eget ansvar - læs debatreglerne
Indlæser debat...


Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Bording Data A/S
Udvikling og salg af software til integration, kommunikation og e-handel samt ERP med fokus på detailhandlen, digitale abonnementer og dagblade/magasiner.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Få succes med sourcing

Sourcing er en af de vigtigste strategiske discipliner i moderne it-drift. Uanset om du overvejer at in- eller outsource og hvad enten det er globalt eller lokalt, så kræver det viden og styr på aftaler og kontrakter. Læs mere

Whilborgs Konferencecenter - 2750 Ballerup



Datasikkerhed

Aldrig tidligere har det været mere afgørende, at vores it-systemer og data er sikre, for aldrig tidligere har vi været så afhængige af data. Og aldrig tidligere har vores data og systemer været så udsatte med så mange indgangsveje og muligheder for at blive ramt: Cloud, mobilbrug, BYOD samt virksomhedernes ofte meget fragmenterede it-infrastruktur med mange forskellige applikationer på kryds og tværs har givet mange nye kanaler ind til virksomhedernes netværk og systemer. Læs mere

Comwell Hotel Aarhus - 8000 Aarhus



Tips og tricks med Excel - Gratis inspirationsseminar

Kom til et spændende inspirationsseminar, der giver dig indsigt i hvordan Excel også kan benyttes til opgaver, som du måske ikke i dag bruger programmet til. Læs mere

Computerworld - 2730 Herlev






mest debaterede artikler

Computerworld
Kæmpeopdatering af Windows 10 i næste uge: Disse nye features og ændringer på vej
Microsoft udsender i næste uge en stor opdatering af Windows 10 under navnet 'Anniversary Update,' som kommer til at indeholde flere nyheder. Se nogle af de vigtigste her.
CIO
Undgå disse fem skadelige forhindringer og få stor succes med din analytics-strategi
Klumme: Der er meget store gevinster at hente, hvis man forstår at udnytte sine data ordentligt. Men mange løber ind i en række forhindringer. Her har du nogle af de typiske.
Comon
Manden bag verdens største torrent-site anholdt
Den formodede hjerne bag verdens største torrentsite KickassTorrents er blevet anholdt i Danmarks naboland Polen. Herfra forsøger amerikanske myndigheder at få ham udleveret til retsforfølgelse i USA. Læs her, hvad han står anklaget for.
Channelworld
Nordmænd køber dansk software-hus - medarbejderne bliver
Norske Amesto Solutions har købt det det danske CRM-firma Adwiza, der har haft svært ved at opnå tilstrækkelig lønsomhed. Men det skal der laves om på nu, lyder det fra Norge.
White paper
Intelligente forretningsprocesser
Læs her om de centrale egenskaber ved intelligente forretningsprocesser, deres fordele og hvordan du hæver dine egne forretningsprocessers IQ.