System Linux zatakowany przez trojana

Przeczytaj także: Kaspersky Lab: szkodliwe programy II kw. 2013

Nowy trojan – znany również jako „Hand of Thief” („Ręka Złodzieja”) – zdążył już zyskać sporą popularność na tajnych forach dla hakerów, na których można spotkać wiele ofert sprzedaży tego złośliwego oprogramowania. Linux.Hanthie to trojan typu backdoor, który raz uruchomiony, dodaje się do rutynowej procedury uruchamiania komputera, nie wymagając przy tym uprawnień administratora.

Oprócz standardowych procedur (takich jak instalowanie się na zaatakowanej maszynie czy wszczepianie własnego kodu do uruchamianych procesów), trojan ten posiada również dodatkowy moduł. Służy on do przechwytywania danych (tzw. grabber) i osadzany jest zarówno w popularnych przeglądarkach (Mozilla Firefox, Google Chrome, Opera), jak i w tych działających tylko w systemie Linux (Chromium i Ice Weasel). Funkcjonalność ta umożliwia rejestrowanie danych wprowadzanych przez użytkownika, m.in. na stronach banków czy w systemach płatności, i wysyłanie ich do cyberprzestępców.

Trojan ten potrafi również reagować na kilka komend – służą one przestępcom do uruchamiania na zainfekowanym komputerze przydatnych im funkcji sieciowych (serwer proxy, port scanner) i do zarządzania samym wirusem (dokonania jego update’u lub samousunięcia z zainfekowanej maszyny). Bieżąca wersja Linux.Hanthie nie posiada mechanizmów samokopiowania, dlatego twórcy trojana w swoich publikacjach na forach hakerskich rekomendują rozpowszechnianie go z wykorzystaniem metod inżynierii społecznej. Trojan może pracować na różnych dystrybucjach Linuxa, w tym na Ubuntu, Debianie oraz Fedorze i wspiera osiem typów środowisk graficznych, w tym GNOME i KDE.

Linux.Hanthie posiada specjalne mechanizmy utrudniające wykrycie go. Po uruchomieniu się, blokuje on dostęp do adresów hostów z aktualizacjami i plikami instalacyjnymi programów antywirusowych. Trojan ten zawiera także funkcje przeciwdziałające jego uruchomieniu i analizie w środowisku wirtualnym, aby utrudnić w ten sposób odtworzenie go przez innych twórców złośliwego oprogramowania czy audytorów bezpieczeństwa.

W związku z zagrożeniem ze strony nowego złośliwego oprogramowania, Doctor Web zaleca wszystkim administratorom urządzeń z systemem Linux sprawdzenie ich pod kątem tego zagrożenia.