Linux-brugere rammes af mystisk drive by-rootkit

Det står ikke klart, om et nyt rootkit mod Linux er del af konventionel pengemotiveret datakriminalitet eller politisk motiveret malware.

Computerworld News Service: Sikkerhedsanalytikere har opdaget et tilsyneladende eksperimentelt Linux-rootkit designet til at inficere sit meget begrænsede udvalg af ofre ved hjælp af et klassisk drive by-angreb via websteder.

Rootkittet blev offentliggjort anonymt 13. november på Full Disclosure af ejeren af et websted, der havde været offer for angrebet.

Det er siden blevet bekræftet af CrowdStrike og Kaspersky Lab, at ofrene inficeres ved hjælp af en usædvanlig form for injektion af en iframe.

Rootkittet er rettet specifikt mod den seneste 64-bit Debian Squeezy kernel (2.6.32-5) og kaldes af Kaspersky Lab "Rootkit.Linux.Snakso.a".

Efter at have forsøgt at trænge ind i vigtige kernel-funktioner og skjule sine egne tråde går Snakso i gang med at kapre systemet.

Det står ikke klart, hvad malwarens specifikke formål er, men analytikerne vurderer, at der er tale om et konventionelt formål frem for et politisk.

Rootkittet ser ud til at være ufærdig, da programmeringen mangler en del finpudsning.

Er stadig under udvikling
Malwarens relativt store binære på 500 kilobyte og det, at den indeholder debug-kode, er yderligere tegn på, at den stadig er under udvikling.

Lige så væsentligt som dens design er spørgsmålet om, hvor den kommer fra.

Analytikeren fra CrowdStrike vurderer, at Rusland er det mest sandsynlige ophav.

Hvis det er tilfældet, så er den fra en verden af professionelle datakriminelle.

"I lyset af at dette rookit bruges til ikke-selektivt at injicere iframes ind i svar fra nginx-webservere, virker det sandsynligt, at rootkittet er del af en generel datakriminel operation og ikke et målrettet angreb," argumenterer CrowdStrike.

Dog kunne dette rootkit ifølge CrowdStrike også være til et Waterhole-angreb, der er et angreb mod et websted, der hovedsageligt besøges af en bestemt gruppe besøgende, med det formål at ramme netop denne gruppe.

Og det er på dette tidspunkt i enhver historie om malware mod Linux, at vi påpeger kompleksiteten involveret i at gå efter denne platform for ikke at nævne det forsvindende lille antal dokumenterede eksempler.

Det seneste eksempel var trojaneren Wirenet i august, der stjal kodeord i browseren og som blev opdaget af det russiske it-sikkerhedsfirma Dr Web.

Andre eksempler har været baseret på Java for at ramme på tværs af platforme.

Det er dog ikke til at komme udenom, at kriminelle nu nærer en mere end blot forbigående interesse for platformen og dens administrator-dominerede brugerbase.

"Selvom dette rootkit stadig er i en tidlig udviklingsfase, så viser det en ny tilgang til drive by-download og vi kan afgjort forvente at se mere af denne form for malware i fremtiden," advarer Marta Janus fra Kaspersky Lab.

Oversat af Thomas Bøndergaard


Ytringer på debatten er afsenders eget ansvar - læs debatreglerne
Indlæser debat...


Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Edgemo A/S
Konsulentydelser, soft- og hardware inden for virtualisering, deployment, systems management, server/storage, køling, sikkerhed, backup, remote backup

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Microsofts løsninger: Mod den store digitale transformation

Vi er for fuld fart i gang med den store digitale transformation, der med smarte it-systemer kommer til at ændre en meget stor del af vores processer, produktion og måde at arbejde på. På denne konference vil du kunne høre om de seneste bud på it-systemer, der i Microsoft-universet understøtter kursen mod den digitale transformation og smart it-udnyttelse.

28. februar 2017 | Læs mere


Bliv klar til EU's persondataforordning: It-opgaver, ansvar og teknologiske muligheder

EU's persondataforordning træder i kraft 25. maj 2018, og det er en stor opgave at få gjort it-setuppet i organisationerne klar. Få overblik over regler og konsekvenser for it-afdelingen og virksomhedens it-ansvarlige, samt indblik i en stribe teknologier, der kan hjælpe til at efterleve kravene.

01. marts 2017 | Læs mere


Bliv klar til EU's persondataforordning: It-opgaver, ansvar og teknologiske muligheder

EU's persondataforordning træder i kraft 25. maj 2018, og det er en stor opgave at få gjort it-setuppet i organisationerne klar. Få overblik over regler og konsekvenser for it-afdelingen og virksomhedens it-ansvarlige, samt indblik i en stribe teknologier, der kan hjælpe til at efterleve kravene.

08. marts 2017 | Læs mere






CIO
It-chef i dybet: "Hele vores it-infrastruktur er jo bygget op fra bunden, og alt - inklusive mig selv - forsvinder jo, når vi er færdige i 2018"
Interview: Martin Lauritsen er it-chef på Metro-byggeriet i København, hvor han skal holde internettet i gang og industrispioner ude af 22 byggepladser i hovedstaden. Det er noget af en opgave.
Comon
Sådan installerer du Googles bil-system, Android Auto, på din smartphone
Android Auto har indtil nu krævet en bil med indbygget computer med touchskærm for at kunne fungere. Nu kan du installere systemet på din Android-telefon og benytte den som bil-computer og navigations-system. Se her, hvordan du gør.
Channelworld
Tidligere Atea-boss Claus Hougesen er færdig som direktør i 3A-it: Her er årsagen
Claus Hougesen er stoppet som administrerende direktør for 3A-it og har i stedet overladt posten til Preben Jensen, der ligeledes har en fortid hos Atea.
White paper
Undersøgelse af kritiske anlæg
I 2015 afsluttede Coromatic Group en undersøgelse af kritiske anlæg, der dækkede årene 2000-2013. Undersøgelsen omfattede det nordiske hospitalsmarked og dets afhængighed af to virksomhedskritiske funktioner, strømforsyning og kommunikationsteknologi, under hensyntagen til den øgede mængde af data, der behandles i forskellige systemer.