Linux.Ellipsis.1 был разработан злоумышленниками для создания на атакованной машине прокси-сервера, однако этот образец отличается от других вредоносных программ для ОС Linux весьма своеобразным поведением, которое специалисты компании «Доктор Веб» назвали «параноидальным».
На сегодняшний день достоверно известно, что киберпреступники используют прокси-сервер в целях обеспечения собственной анонимности для доступа к устройствам, взломанным при помощи другой вредоносной программы, — Linux.Ellipsis.2. В целом применяемая киберпреступниками схема атаки выглядит так: при помощи троянца Linux.Ellipsis.2 они получают несанкционированный доступ по протоколу SSH к какому-либо сетевому устройству или компьютеру, а затем используют этот доступ в различных противоправных целях, сохраняя анонимность посредством Linux.Ellipsis.1.
После запуска на инфицированном ПК Linux.Ellipsis.1 удаляет свой рабочий каталог и очищает список правил для iptables, а затем пытается завершить ряд работающих приложений, в первую очередь — программы для ведения и просмотра логов, а также анализа трафика. После этого троянец удаляет существующие директории и файлы системных журналов и создает на их месте папки с соответствующими именами. Тем самым блокируется возможность создания логов с такими именами в будущем.
Как уже упоминалось ранее, основное предназначение Linux.Ellipsis.1 заключается в организации на инфицированном компьютере прокси-сервера. Для этой цели троянец контролирует соединения по заданному локальному адресу и порту, проксируя весь транслируемый через этот адрес и порт трафик.
Для вредоносной программы Linux.Ellipsis.1 характерно весьма необычное поведение: троянец имеет довольно обширный список характерных строк, обнаруживая которые в сетевом трафике он блокирует обмен данными с соответствующим удаленным сервером по IP-адресу. Список запрещенных слов также имеет вариативную часть, которая зависит от содержимого входного пакета. Например, если поступающий на зараженную машину пакет данных содержит строку «User-Agent: Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 5.1; Trident/4.0; .NET CLR 2.0.50727; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729)», то в список добавляются значения «eapmygev.» и «ascuviej.». Кроме того, в своей работе Linux.Ellipsis.1 использует список подозрительных и игнорируемых слов.
Получаемое троянцем с управляющего сервера задание содержит IP-адрес подсети, которую вредоносная программа сканирует на наличие устройств с открытым SSH-подключением на порту 22. При обнаружении таких устройств троянец пытается получить к ним доступ, перебирая пары логин-пароль по имеющемуся у него словарю, а в случае успеха отправляет сообщение об этом на сервер злоумышленников.
Сигнатуры перечисленнных вредоносных программ добавлены в вирусные базы, и потому они не представляют опасности для пользователей Антивируса Dr.Web.
Последние новости
- Технологии | Вчера, 18:15
Razer Freyja - первая в мире игровая вибронакидка на кресло с HD Haptics - Железо | Вчера, 17:45
Новый пылесос Trouver S3 Detect Aqua - Железо | Вчера, 17:15
Смарт-мониторы LG могут работать без ПК - Связь | Вчера, 16:45
Домашній інтернет від Vodafone тепер можна оплатити за допомогою нацкешбеку - Интернет | Вчера, 16:15
Google запрошує українські стартапи на Growth Academy: AI for Cybersecurity - Безопасность | Вчера, 15:45
У Мінсоцполітики попередили про фейкові посилання на отримання "1 тис." - Безопасность | Вчера, 15:15
Україна блокує російський вплив на світовий розвиток телекомунікацій - Интернет | Вчера, 14:45
OpenAI представила свою пошукову систему ChatGPT Search - Бизнес | Вчера, 14:15
"Дія" – один із найкращих винаходів світу за версією TIME
Последние материалы
- Обзоры | 27 октября, 20:58
Gelius Nexus Magnetic Wireless Charge GP-PBW100i – бездротовий 15Вт повербанк - Обзоры | 26 октября, 15:28
Gelius GP-FK001 – ліхтарик - брелок за 149 гривень - Обзоры | 22 октября, 13:04
RIVACASE 7661 – практично "армійський" рюкзак для великого міста - Фотогалереи | 16 октября, 13:29
Важкий бомбардувальний дрон використовують наші воїни проти окупанта - Фотогалереи | 15 октября, 21:29
На "Академик Вернадский" фиксируют масовое возвращение пингвинов - Обзоры | 15 октября, 10:40
Gelius Shark X KZBS-003i – захищена "розкладна" колонка з підсвіткою та вбудованим МР3 - Обзоры | 3 октября, 21:44
ColorWay USB-C 6-в-1 Type C PD 100W/USB3.0х3/HDMI 4К/RJ45 (CW-HUB02) – більше, ніж просто хаб - Обзоры | 28 сентября, 10:18
be quiet! Silent Wings PRO 4 (140 мм) – "король" серед вентиляторів - Фотогалереи | 24 сентября, 20:27
Навчання серії "Сі Бриз" успішно проведено в Болгарії
Популярные новости
- Железо | 30 октября, 10:38
Pure Base 501 та Pure Power 12 - нова серія корпусів та БЖ be quiet! 5.00 - Интернет | 30 октября, 14:50
Хмарні сервіси: як правильно вибрати платформу для бізнесу 1.00 - Технологии | Вчера, 18:15
Razer Freyja - первая в мире игровая вибронакидка на кресло с HD Haptics 0.00 - Железо | Вчера, 17:45
Новый пылесос Trouver S3 Detect Aqua 0.00 - Железо | Вчера, 17:15
Смарт-мониторы LG могут работать без ПК 0.00 - Связь | Вчера, 16:45
Домашній інтернет від Vodafone тепер можна оплатити за допомогою нацкешбеку 0.00 - Интернет | Вчера, 16:15
Google запрошує українські стартапи на Growth Academy: AI for Cybersecurity 0.00 - Безопасность | Вчера, 15:45
У Мінсоцполітики попередили про фейкові посилання на отримання "1 тис." 0.00 - Безопасность | Вчера, 15:15
Україна блокує російський вплив на світовий розвиток телекомунікацій 0.00