Специалисты компании Palo Alto Networks обнаружили новую вредоносную программу Auto-Color, нацеленную на Linux-системы. В период с ноября по декабрь 2024 года вредонос атаковал образовательные учреждения и государственные организации в Северной Америке и Азии, демонстрируя высокий уровень технической сложности и продвинутые механизмы маскировки.
Особенности и механизмы работы Auto-Color
Auto-Color представляет собой сложный бэкдор, предоставляющий злоумышленникам полный удаленный доступ к инфицированным системам. Ключевой особенностью малвари является комплексный подход к избеганию обнаружения, включающий использование маскирующих имен файлов, сокрытие командно-контрольных коммуникаций и применение проприетарных алгоритмов шифрования.
Процесс инфицирования и закрепления в системе
Для успешной установки вредонос требует привилегий root. После получения необходимых прав Auto-Color выполняет следующие действия:
- Устанавливает вредоносный имплант libcext.so.2
- Создает копию в директории /var/log/cross/auto-color
- Модифицирует /etc/ld.preload для обеспечения персистентности
Продвинутые техники маскировки
Малварь использует сложные механизмы сокрытия своего присутствия, включая перехват системных вызовов open() и модификацию файла /proc/net/tcp для маскировки сетевой активности. Примечательно, что подобная техника ранее наблюдалась в Linux-малвари Symbiote, обнаруженной в 2022 году.
Функциональные возможности и угрозы
После успешного закрепления в системе Auto-Color предоставляет атакующим широкий спектр возможностей:
- Запуск реверс-шелла
- Сбор системной информации
- Манипуляции с файлами
- Использование зараженной машины как прокси
- Возможность самоуничтожения для заметания следов
Эксперты по кибербезопасности рекомендуют организациям усилить мониторинг Linux-систем, регулярно проверять целостность системных файлов и внедрить строгий контроль привилегий пользователей. Учитывая целенаправленный характер атак и сложность обнаружения Auto-Color, крайне важно применять комплексный подход к защите критической инфраструктуры.
