Новые угрозы для Linux-систем стали появляться заметно чаще, и обнаруженный экспертами компании «Доктор Веб» троян Linux.Proxy.10 – лишнее тому доказательство.
Специалисты пишут, что малварь была найдена в январе 2017 года и уже успела инфицировать несколько тысяч устройств. Как и следует из названия, присвоенного вредоносу, он предназначен для запуска на устройстве жертвы SOCKS5-прокси сервера, основанного на свободно распространяемых исходных кодах утилиты Satanic Socks Server. Злоумышленники используют этого трояна для обеспечения собственной анонимности в интернете.
Для распространения малварь хакеры авторизуются на уязвимых узлах, используя SSH. При этом список узлов, а также логин и пароль к ним хранятся на сервере злоумышленников. Список имеет следующий вид: «IP-адрес:login:password». Исследователи отмечают, что пользователей с такими учетными данными как правило создают в системе другие Linux-трояны. То есть Linux.Proxy.10 проникает на устройства, либо имеющие стандартные настройки, либо уже инфицированные другой Linux-малварью. Через использование вышеупомянутого списка формируется сценарий, который выполняется на заражаемых устройствах при помощи утилиты sshpass. Так и происходит заражение Linux.Proxy.10.
Также помимо списков уязвимых узлов исследователи обнаружили на серверах злоумышленников панель управления Spy-Agent и сборку вредоносной программы для Windows, относящейся к известному семейству шпионских троянов BackDoor.TeamViewer.
Чтобы подключиться к прокси-серверу, запущенному при помощи Linux.Proxy.10, злоумышленникам достаточно знать только IP-адрес девайса и номер порта, который сохраняется в теле троянца при его компиляции.
