Linux.Ellipsis.1 был разработан злоумышленниками для создания на атакованной машине прокси-сервера, однако этот образец отличается от других вредоносных программ для ОС Linux весьма своеобразным поведением, которое специалисты компании «Доктор Веб» назвали «параноидальным».
На сегодняшний день достоверно известно, что киберпреступники используют прокси-сервер в целях обеспечения собственной анонимности для доступа к устройствам, взломанным при помощи другой вредоносной программы, — Linux.Ellipsis.2. В целом применяемая киберпреступниками схема атаки выглядит так: при помощи троянца Linux.Ellipsis.2 они получают несанкционированный доступ по протоколу SSH к какому-либо сетевому устройству или компьютеру, а затем используют этот доступ в различных противоправных целях, сохраняя анонимность посредством Linux.Ellipsis.1.
После запуска на инфицированном ПК Linux.Ellipsis.1 удаляет свой рабочий каталог и очищает список правил для iptables, а затем пытается завершить ряд работающих приложений, в первую очередь — программы для ведения и просмотра логов, а также анализа трафика. После этого троянец удаляет существующие директории и файлы системных журналов и создает на их месте папки с соответствующими именами. Тем самым блокируется возможность создания логов с такими именами в будущем.
Как уже упоминалось ранее, основное предназначение Linux.Ellipsis.1 заключается в организации на инфицированном компьютере прокси-сервера. Для этой цели троянец контролирует соединения по заданному локальному адресу и порту, проксируя весь транслируемый через этот адрес и порт трафик.
Для вредоносной программы Linux.Ellipsis.1 характерно весьма необычное поведение: троянец имеет довольно обширный список характерных строк, обнаруживая которые в сетевом трафике он блокирует обмен данными с соответствующим удаленным сервером по IP-адресу. Список запрещенных слов также имеет вариативную часть, которая зависит от содержимого входного пакета. Например, если поступающий на зараженную машину пакет данных содержит строку «User-Agent: Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 5.1; Trident/4.0; .NET CLR 2.0.50727; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729)», то в список добавляются значения «eapmygev.» и «ascuviej.». Кроме того, в своей работе Linux.Ellipsis.1 использует список подозрительных и игнорируемых слов.
Получаемое троянцем с управляющего сервера задание содержит IP-адрес подсети, которую вредоносная программа сканирует на наличие устройств с открытым SSH-подключением на порту 22. При обнаружении таких устройств троянец пытается получить к ним доступ, перебирая пары логин-пароль по имеющемуся у него словарю, а в случае успеха отправляет сообщение об этом на сервер злоумышленников.
Сигнатуры перечисленнных вредоносных программ добавлены в вирусные базы, и потому они не представляют опасности для пользователей Антивируса Dr.Web.
Последние новости
- Безопасность | Сегодня, 9:45
Дощ та буревій: сьогодні Україну накриє циклон Biruta - Интернет | Сегодня, 9:15
Які переваги чекають на українців з появою електронного кабінету пацієнта? - Безопасность | Сегодня, 8:45
У польських школах з 1 вересня 2024 року відновлять стоматологічні огляди - Технологии | Сегодня, 8:15
Сенат одобрил выделение 61 миллиарда долларов помощи Украине! - Гаджеты | Вчера, 15:45
Новые игровые мишки V8M MAX и R36 ULTRA от BLOODY - Гаджеты | Вчера, 15:15
Геймерские гарнитуры Оклик HS-L355G, HS-L420G и HS-L575G - Гаджеты | Вчера, 14:45
Новая игровая гарнитура BLOODY GR370 - Железо | Вчера, 14:15
MSI представляет новые моноблоки серий Modern AM242TP и Modern AM272P 1M - Связь | Вчера, 13:45
Росіяни пошкодили телевізійну вежу у Харкові
Последние материалы
- Обзоры | Позавчера, 13:49
Gembird WM-80ST-05 – потужний кронштейн з гарним розворотом та нахилом - Аналитика | 17 апреля, 10:45
Мікрогенерація - шлях до автономності родин. Наявні можливості в Україні - до 10 ГВт на місяць. - Обзоры | 17 апреля, 9:07
Gelius AeroWave S (GP-PCH01) – обігрівач для "вилазок" на природу - Обзоры | 5 апреля, 21:22
Bloody MR720 – ігрова гарнітура з RGB та трьома інтерфейсами підключення - Аналитика | 5 апреля, 9:47
Інноваційні рішення в галузі хостингу у 2024 - Обзоры | 3 апреля, 13:12
Что ожидать от очков смешанной реальности Apple Vision Pro - Обзоры | 2 апреля, 22:15
RIVACASE 8068 (Black) Bundle – твій комплект чемпіона! - Обзоры | 1 апреля, 6:27
Maxxter MX-CHR-1224V10A - мікропроцесорний зарядний пристрій для АКБ 12-24В - Обзоры | 24 марта, 16:18
Gelius Pro Smart Rope Kangaroo 2 (GP-SR002 Black) – твоя особиста скакалка з дисплеєм
Популярные новости
- Безопасность | Сегодня, 9:45
Дощ та буревій: сьогодні Україну накриє циклон Biruta 0.00 - Интернет | Сегодня, 9:15
Які переваги чекають на українців з появою електронного кабінету пацієнта? 0.00 - Безопасность | Сегодня, 8:45
У польських школах з 1 вересня 2024 року відновлять стоматологічні огляди 0.00 - Технологии | Сегодня, 8:15
Сенат одобрил выделение 61 миллиарда долларов помощи Украине! 0.00 - Гаджеты | Вчера, 15:45
Новые игровые мишки V8M MAX и R36 ULTRA от BLOODY 0.00 - Гаджеты | Вчера, 15:15
Геймерские гарнитуры Оклик HS-L355G, HS-L420G и HS-L575G 0.00 - Гаджеты | Вчера, 14:45
Новая игровая гарнитура BLOODY GR370 0.00 - Железо | Вчера, 14:15
MSI представляет новые моноблоки серий Modern AM242TP и Modern AM272P 1M 0.00 - Связь | Вчера, 13:45
Росіяни пошкодили телевізійну вежу у Харкові 0.00