Linux狙う新しいマルウェア発見、高いステルス性能と永続機能が特徴
マイナビニュース / 2024年8月27日 9時31分
リスク管理および保険関連企業のAonはこのほど、「Unveiling sedexp: A Stealthy Linux Malware Exploiting udev Rules」において、新しい永続化手法を用いるLinux向けマルウェア「sedexp」を発見したと伝えた。このマルウェアはudevルールを悪用いて永続性を確保し、メモリを操作して自身を隠蔽するとされる。
○udevルールの悪用
udevはLinuxのデバイス管理ツールで、「/dev」ディレクトリに生成されるデバイスファイルの動的管理を担う。USBデバイスなどを接続すると、udevは適切なドライバーをロードし、必要なアクションを実行する。
udevは、「udevルール」と呼ばれる設定ファイルに記述されたルールに従いアクションを実行する。今回攻撃者が永続性確保のために追加したルールは次のとおり。
ACTION=="add", ENV{MAJOR}=="1", ENV{MINOR}=="8", RUN+="asedexpb run:+"
このルールを要約すると、「ランダム(random)デバイス追加時にasedexpbを実行せよ」となる。ランダム(random)デバイスはシステム起動時に必ず追加されるため、マルウェアも必ず実行されることになる。
○マルウェア「sedexp」の実体
Aonの分析によると、マルウェア「sedexp」は以下の機能を備えているという。
リバースシェルによる遠隔操作
メモリ操作による文字列「sedexp」を含むファイルの隠蔽。この機能により追加したApache構成ファイル、Webシェル、udevルールをlsやfindコマンドから隠蔽する
マルウェアのプロセス名をkdevtmpfsに変更する
○影響と対策
Aonの調査によると、攻撃者は侵害したWebサーバ上にクレジットカード情報を窃取するWebスクレイピングコードを設置していたという。この事実から、攻撃者の目的は経済的利益と見られる。
Aonは、このようにステルス性が高い攻撃を回避するため、企業や組織に対し、検出機能の継続的な向上および包括的なセキュリティ対策の実施を推奨している。また、侵害された可能性のある企業に対しては、デジタルフォレンジックとインシデント対応(DFIR: Digital Forensics and Incident Response)をサポートするセキュリティ企業に相談することを推奨している。
(後藤大地)
この記事に関連するニュース
-
シスコのスイッチ狙う中国の脅威グループ、メモリからマルウェア再構築
マイナビニュース / 2024年8月25日 11時21分
-
チェック・ポイント・リサーチ、2024年7月に最も活発だったマルウェアを発表 国内ではAndroxgh0st が依然首位、世界的なRemcosとRansomHubの蔓延を確認
PR TIMES / 2024年8月22日 13時45分
-
弱いパスワードからSSHサーバに侵入、GPUマイニングで資金稼ぎ
マイナビニュース / 2024年8月20日 9時31分
-
転職望むソフトウェア開発者狙う、北朝鮮のサイバー攻撃が世界中に拡大
マイナビニュース / 2024年8月6日 8時44分
-
Windowsの通信を悪用する新しいバックドア「BITSLOTH」発見、中国関与か
マイナビニュース / 2024年8月5日 9時9分
ランキング
-
1藤田ニコル、「にこるん妊娠してる?」→「あんまり言ってほしくない」 ふんわりワンピ姿への声に「ほんと失礼すぎる」
ねとらぼ / 2024年8月26日 20時10分
-
2楽天モバイル料金を全額ポイントで支払っている僕が伝えたい爆裂お得なキャンペーン
ASCII.jp / 2024年8月27日 7時0分
-
3「急にやる気が出てきた」木多康昭、『喧嘩家業』再開示唆に歓喜の声「ブラフだ」「木多康昭はそこからが長い」
ねとらぼ / 2024年8月26日 18時21分
-
4「何があったんやw」 航空会社のサイトを見ていたら…… 辛辣すぎる“空港の表記”に思わず二度見 「めっちゃ笑った」
ねとらぼ / 2024年8月27日 8時0分
-
5『ドラクエ3』「マップ」ないほうが楽しめる? 「HD-2D版」に高まる期待と不安
マグミクス / 2024年8月26日 21時25分
記事ミッション中・・・
記事にリアクションする
![](/pc/img/mission/mission_close_icon.png)
記事ミッション中・・・
記事にリアクションする
![](/pc/img/mission/point-loading.png)
エラーが発生しました
ページを再読み込みして
ください
![](/pc/img/mission/mission_close_icon.png)