Linux.Ellipsis.1 был разработан злоумышленниками для создания на атакованной машине прокси-сервера, однако этот образец отличается от других вредоносных программ для ОС Linux весьма своеобразным поведением, которое специалисты компании «Доктор Веб» назвали «параноидальным».
На сегодняшний день достоверно известно, что киберпреступники используют прокси-сервер в целях обеспечения собственной анонимности для доступа к устройствам, взломанным при помощи другой вредоносной программы, — Linux.Ellipsis.2. В целом применяемая киберпреступниками схема атаки выглядит так: при помощи троянца Linux.Ellipsis.2 они получают несанкционированный доступ по протоколу SSH к какому-либо сетевому устройству или компьютеру, а затем используют этот доступ в различных противоправных целях, сохраняя анонимность посредством Linux.Ellipsis.1.
После запуска на инфицированном ПК Linux.Ellipsis.1 удаляет свой рабочий каталог и очищает список правил для iptables, а затем пытается завершить ряд работающих приложений, в первую очередь — программы для ведения и просмотра логов, а также анализа трафика. После этого троянец удаляет существующие директории и файлы системных журналов и создает на их месте папки с соответствующими именами. Тем самым блокируется возможность создания логов с такими именами в будущем.
Как уже упоминалось ранее, основное предназначение Linux.Ellipsis.1 заключается в организации на инфицированном компьютере прокси-сервера. Для этой цели троянец контролирует соединения по заданному локальному адресу и порту, проксируя весь транслируемый через этот адрес и порт трафик.
Для вредоносной программы Linux.Ellipsis.1 характерно весьма необычное поведение: троянец имеет довольно обширный список характерных строк, обнаруживая которые в сетевом трафике он блокирует обмен данными с соответствующим удаленным сервером по IP-адресу. Список запрещенных слов также имеет вариативную часть, которая зависит от содержимого входного пакета. Например, если поступающий на зараженную машину пакет данных содержит строку «User-Agent: Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 5.1; Trident/4.0; .NET CLR 2.0.50727; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729)», то в список добавляются значения «eapmygev.» и «ascuviej.». Кроме того, в своей работе Linux.Ellipsis.1 использует список подозрительных и игнорируемых слов.
Получаемое троянцем с управляющего сервера задание содержит IP-адрес подсети, которую вредоносная программа сканирует на наличие устройств с открытым SSH-подключением на порту 22. При обнаружении таких устройств троянец пытается получить к ним доступ, перебирая пары логин-пароль по имеющемуся у него словарю, а в случае успеха отправляет сообщение об этом на сервер злоумышленников.
Сигнатуры перечисленнных вредоносных программ добавлены в вирусные базы, и потому они не представляют опасности для пользователей Антивируса Dr.Web.
Последние новости
- Технологии | Сегодня, 10:15
Почти $100 тысяч: биткоин достиг рекордного максимума - Бизнес | Сегодня, 9:45
У Польщі назвали головну проблему при працевлаштуванні іноземців. - Бизнес | Сегодня, 9:15
Львів матиме пряме залізничне сполучення з Кишиневом - Безопасность | Сегодня, 8:45
На Львівщині викрили контрабанду електронок на 24 млн гривень - Бизнес | Сегодня, 8:15
Топ-5 різдвяних ярмарків Європи, які варто відвідати - Технологии | Вчера, 15:29
У Міноборони Канади підтвердили передачу ППО NASAMS - Бизнес | Вчера, 14:24
В США хотят вынудить Google продать свой браузер Chrome - Связь | Вчера, 13:15
Vodafone пропонує абонентам три місяці безплатного домашнього інтернету - Гаджеты | Вчера, 12:45
Официальный анонс Razer Kraken V4 Pro
Последние материалы
- Фотогалереи | 17 ноября, 19:41
Як виглядає аеропорт Луксор, Єгипет - Обзоры | 17 ноября, 12:43
Maxxter MX-CHR-1224V25M – інтелектуальний зарядний пристрій для АКБ - Обзоры | 10 ноября, 22:23
Maxxter MX-TST-1224 - протестує будь-який акумулятор - Обзоры | 5 ноября, 23:02
Gelius GP-PK008 - дитячий 4G-смартгодинник з персоналізацією - Обзоры | 3 ноября, 20:01
be quiet! Pure Wings 3 140 – 140-мілліметровий вентилятор для прогресивних систем - Обзоры | 27 октября, 20:58
Gelius Nexus Magnetic Wireless Charge GP-PBW100i – бездротовий 15Вт повербанк - Обзоры | 26 октября, 15:28
Gelius GP-FK001 – ліхтарик - брелок за 149 гривень - Обзоры | 22 октября, 13:04
RIVACASE 7661 – практично "армійський" рюкзак для великого міста - Фотогалереи | 16 октября, 13:29
Важкий бомбардувальний дрон використовують наші воїни проти окупанта
Популярные новости
- Бизнес | 19 ноября, 14:15
Знижки на Black Friday з OPPO AED Україна 5.00 - Технологии | Вчера, 11:45
ViewSonic зміцнює позиції лідера серед світових брендів інтерактивних дисплеїв 5.00 - Бизнес | 19 ноября, 13:45
Binance оголошує про партнерство з брендом Battery 5.00 - Технологии | Сегодня, 10:15
Почти $100 тысяч: биткоин достиг рекордного максимума 0.00 - Бизнес | Сегодня, 9:45
У Польщі назвали головну проблему при працевлаштуванні іноземців. 0.00 - Бизнес | Сегодня, 9:15
Львів матиме пряме залізничне сполучення з Кишиневом 0.00 - Безопасность | Сегодня, 8:45
На Львівщині викрили контрабанду електронок на 24 млн гривень 0.00 - Бизнес | Сегодня, 8:15
Топ-5 різдвяних ярмарків Європи, які варто відвідати 0.00 - Технологии | Вчера, 15:29
У Міноборони Канади підтвердили передачу ППО NASAMS 0.00