這種新的 Linux 惡意軟體有一種偷偷摸摸的隱藏方式

只有當攻擊者傳遞觸發後門的「魔法資料包」時，Rootkit 才會被啟動。

神秘的駭客手在筆記型電腦鍵盤上打字。

一種新發現的名為 Syslogk 的隱密 Linux 惡意軟體提供了一個後門，該後門始終隱藏在目標電腦上，直到其控制器從互聯網上的任何位置傳輸所謂的「魔法資料包」。

根據 Avast 的研究人員的說法，Syslogk Linux rootkit 提供了名為 Rekoobe 的後門木馬，並使用多種技術來隱藏後門，直到需要為止。

幸運的是，Avast 分析的 Syslogk 版本僅適用於舊版的 Linux 內核，但該惡意軟體似乎正在開發中。

請參閱：雲端運算安全：它在哪裡，它將走向何方

Rekoobe 惡意軟體已被中國國家支持的威脅組織 APT31（微軟稱為 Zircium）使用。 Rekoobe 基於 TinyShell，一個 UNIX 後門的開源專案。 Syslogk rootkit 中對 TinyShell 的引用可以追溯到 2018 年 12 月 13 日。

同時，Syslogk 主要基於名為 Adore-Ng 的中國開源 Linux 核心 rootkit，該工具截至今年仍在開發中，但目前僅支援 Linux 核心版本 3.x，而不是 5.x 系列核心目前正在開發中。

Syslogk 新增了新功能，使用戶模式應用程式和核心 rootkit 比 Adore-Ng 更難檢測，後者已經可以隱藏檔案、其進程和核心模組。

Avast 研究人員認為，該小組專門開發了 Rekoobe 和 Syslogk，以便他們能夠攜手運作。

Avast 發現的 Rekoobe 樣本嵌入在假冒的 SMPT 郵件伺服器中。當後門收到特製的 TCP 封包或來自遠端攻擊者的所謂「魔術封包」時，後門就會被觸發。攻擊者有可能使用帶有魔術包的 Syslogk 來遠端停止和啟動 Rekoobe 後門。

該公司解釋說，魔術資料包的作用會影響 Syslogk 在用戶空間模式下遠端啟動 Rekoobe 的能力。

它解釋說：“它不是持續運行有效負載，而是通過發送特製的網路流量數據包來按需遠端啟動或停止。”

「這些被稱為魔法資料包，因為它們具有特殊的格式和特殊的能力。在這種實作中，攻擊者可以在受感染的電腦中沒有偵聽連接埠的情況下觸發操作，從而以某種方式'神奇'地執行命令系統。

SEE：雲端運算占主導地位。但安全現在是最大的挑戰

儘管對 Linux 核心版本的支援有限，但 Avast 認為，假冒 SMTP 伺服器上的 Syslogk 和 Rebooke 的組合對於攻擊者來說是一個強大的工具集。

「我們觀察到，Syslogk rootkit（和 Rekoobe 有效負載）與假冒 SMTP 伺服器秘密使用時完美匹配。考慮一下這可能是多麼隱蔽；一個後門，直到一些魔法資料包發送到機器後才會加載。當查詢時，它似乎是隱藏在記憶體中、隱藏在磁碟上、遠端「神奇」執行、隱藏在網路上的合法服務，即使在網路連接埠掃描期間被發現，它似乎仍然是合法的SMTP 伺服器。