Groźny trojan atakuje system Linux
Warszawa, 3 września 2013. Firmy antywirusowa Doctor Web informuje o nowym trojanie Linux.Hanthie, który umożliwia cyberprzestępcom wykradanie danych użytkownikom komputerów z systemem Linux. Według analityków Doctor Web, trojan ten potrafi przy tym unikać detekcji przez oprogramowanie antywirusowe.
Nowy trojan – znany również jako „Hand of Thief” („Ręka Złodzieja”) – zdążył już zyskać sporą popularność na tajnych forach dla hakerów, na których można spotkać wiele ofert sprzedaży tego złośliwego oprogramowania. Linux.Hanthie to trojan typu backdoor, który raz uruchomiony, dodaje się do rutynowej procedury uruchamiania komputera, nie wymagając przy tym uprawnień administratora.
Oprócz standardowych procedur (takich jak instalowanie się na zaatakowanej maszynie czy wszczepianie własnego kodu do uruchamianych procesów), trojan ten posiada również dodatkowy moduł. Służy on do przechwytywania danych (tzw. grabber) i osadzany jest zarówno w popularnych przeglądarkach (Mozilla Firefox, Google Chrome, Opera), jak i w tych działających tylko w systemie Linux (Chromium i Ice Weasel). Funkcjonalność ta umożliwia rejestrowanie danych wprowadzanych przez użytkownika, m.in. na stronach banków czy w systemach płatności, i wysyłanie ich do cyberprzestępców.
Trojan ten potrafi również reagować na kilka komend – służą one przestępcom do uruchamiania na zainfekowanym komputerze przydatnych im funkcji sieciowych (serwer proxy, port scanner) i do zarządzania samym wirusem (dokonania jego update’u lub samousunięcia z zainfekowanej maszyny). Bieżąca wersja Linux.Hanthie nie posiada mechanizmów samokopiowania, dlatego twórcy trojana w swoich publikacjach na forach hakerskich rekomendują rozpowszechnianie go z wykorzystaniem metod inżynierii społecznej. Trojan może pracować na różnych dystrybucjach Linuxa, w tym na Ubuntu, Debianie oraz Fedorze i wspiera osiem typów środowisk graficznych, w tym GNOME i KDE.
Linux.Hanthie posiada specjalne mechanizmy utrudniające wykrycie go. Po uruchomieniu się, blokuje on dostęp do adresów hostów z aktualizacjami i plikami instalacyjnymi programów antywirusowych. Trojan ten zawiera także funkcje przeciwdziałające jego uruchomieniu i analizie w środowisku wirtualnym, aby utrudnić w ten sposób odtworzenie go przez innych twórców złośliwego oprogramowania czy audytorów bezpieczeństwa.
W związku z zagrożeniem ze strony nowego złośliwego oprogramowania, Doctor Web zaleca wszystkim administratorom urządzeń z systemem Linux sprawdzenie ich pod kątem tego zagrożenia.
Sygnatura trojana Linux.Hanthie została dodana do bazy wirusów Dr.Web, dzięki czemu jest on skutecznie wykrywany i usuwany z zainfekowanego systemu z zainstalowanym oprogramowaniem antywirusowym Dr. Web. Jedną z metod na usunięcie wymienionego wyżej trojana jest skorzystanie z darmowego narzędzia Dr.Web LiveCD, dostępnego pod adresem http://www.freedrweb.com/livecd/.
Wirus, znany również jako "Hand of Thief” ("Ręka Złodzieja”), zdążył już zyskać sporą popularność na tajnych forach dla hakerów, na których można spotkać wiele ofert sprzedaży tego złośliwego oprogramowania.
Linux.Hanthie, raz uruchomiony, dodaje się do rutynowej procedury uruchamiania komputera, nie wymagając przy tym uprawnień administratora. Oprócz standardowych procedur (jak instalowanie się na zaatakowanej maszynie czy wszczepianie własnego kodu do uruchamianych procesów), trojan ten posiada również dodatkowy moduł. Służy on do przechwytywania danych (tzw. grabber) i osadzany jest zarówno w popularnych przeglądarkach (Mozilla Firefox, Google Chrome, Opera), jak i w tych działających tylko w systemie Linux (Chromium i Ice Weasel). Funkcjonalność ta umożliwia rejestrowanie danych wprowadzanych przez użytkownika, m.in. na stronach banków czy w systemach płatności, i wysyłanie ich do cyberprzestępców.
Trojan może pracować na różnych dystrybucjach Linuxa, posiada też specjalne mechanizmy utrudniające wykrycie go. Po uruchomieniu się, blokuje on dostęp do adresów hostów z aktualizacjami i plikami instalacyjnymi programów antywirusowych.
W związku z zagrożeniem ze strony nowego złośliwego oprogramowania, Doctor Web zaleca wszystkim administratorom urządzeń z systemem Linux sprawdzenie ich pod tym kątem.
(ew/DoctorWeb)
