23 мая 2014
Linux все больше становится мишенью для атаки DDoS-троянцами
Вопреки предубеждениям об особой защищенности Linux-систем, препятствующей атакам вредоносов, хакеры эффективно их используют для взлома этих ОС. В мае текущего года сотрудниками компании «Доктор Веб» было зафиксировано значительное число троянцев, целенаправленно разработанных именно для данного класса ОС. Большинство из них используется для проведения DDoS-атак.
Все эти зловреды обладают схожими чертами, такими как использование различных протоколов для организации DDoS-атак с большой степенью вероятности принадлежностью одному и тому же разработчику.
Вредоносное ПО Linux.DDoS.3 имеет широкий спектр функциональных возможностей. С момента начала атаки вирусом определяется адрес командного сервера, а затем осуществляется передача на него данных о зараженной системе. После этого он находится в ожидании конфигурационной информации, имеющей текущие задачи. Благодаря использованию Linux.DDoS.3 хакеры имеют возможность проводить атаки на определенный сервер с применением протоколов UDP (UDP flood), а также TCP/IP (TCP flood) и посылать запросы серверам DNS с целью усиления эффективности проводимой DDoS-атаки.
Была выявлена еще одна угроза аналогичного типа – Linux.DDoS.22, применяемая для нанесения вреда ПО Linux, которые используются на процессорах ARM. Троянец Linux.DDoS.24, в свою очередь, может наносить вред рабочим станциям и серверам, для работы которых используются 32-разрядные версии CentOS и Ubuntu. При использовании данной модификации происходит ее установка с именем pktmake, и уже затем – отражение в параметрах операционной системы в автоматическом режиме.
Кроме этого, Linux.DDoS.24 собирает информацию насчет аппаратной конфигурации зараженного ПК, в числе которой находятся данные об объеме памяти и типе процессора. Потом сведения отправляются на сервер злоумышленников в зашифрованном виде. Основной задачей этого вируса является выполнение DDoS-атаки с запроса удаленного узла. (На заметку: скачать антивирус касперского )
Специалисты «Доктор Веб» также провели исследования над другой группой вредоносных программ, а именно над Linux.DnsAmp.1, Linux.DnsAmp.2, Linux.DnsAmp.3, Linux.DnsAmp.4 и Linux.DnsAmp.5. Часть из них способна заражать и 32-разрядные версии ОС Linux (Linux.DnsAmp.5, Linux.DnsAmp.3, Linux.DnsAmp.1), и 64-разрядные (Linux.DnsAmp.4, Linux.DnsAmp.2). При этом злоумышленники могут использовать одновременно два управляющих сервера. Так же, как и остальные модификации DDoS-троянцев, вирусы данного типа сначала регистрируют себя в системе, а затем проводят сбор и отправку информации о конфигурации зараженного хакером компьютера (частота процессора, версия ОС, объем Swap-кэша и свободной памяти и остальные сведения) на свой сервер. После того, как все необходимые действия выполнены, программа находится в ожидании управляющих команд.
Основные возможности троянцев класса DDoS:
• отправка команд на управляющие серверы NTP (наличие данной функции в первых версиях, но отсутствие ее применения);
• отправка команд на управляющие серверы DNS;
• Ping Flood (с применением протокола ICMP осуществляется эхо-запрос, для которого PID-процесс является идентификатором, а сведения представлены в виде hex-значения 0xA1B0A1B0);
• UDP Flood (осуществляется соединение с атакуемой системой за счет протокола UDP, а затем вирус пытается совершить отправку пользователю 1000 посланий);
• SYN Flood (передача специально разработанного пакета на атакуемую систему до того момента, пока она не прекратит отвечать на команды).
Помимо этого, при подаче определенной команды с сервера злоумышленника может быть произведена запись данных в файл журнала и осуществлен повтор или обновление атаки.
Вредоносные программы, предназначенные для 32- и 64-разрядных систем (Linux.DnsAmp.3 и Linux.DnsAmp.4 соответственно), представлены в виде модификаций, принадлежащих данной упрощенной версии. На деле вирусы могут использоваться только для начала атаки, ее остановки или записи сведений в файл журнала. Хотелось бы отметить, что все эти троянцы используют в своей работе одинаковые управляющие серверы.
Необходимо также рассказать и о такой программе, как Linux.MrBlack, которая была создана для функционирования совместно с ARM-совместимыми дистрибутивами системы Linux. Данный вирус способен выполнять DDoS-атаки благодаря применению протоколов HTTP и TCP/IP. Он обладает достаточно простой архитектурой и выполняет все действия также согласно командам, осуществляемым с управляющего сервера хакеров.
