13 settembre 2016

DDoS (dall'inglese Distributed Denial of Service, un attacco distribuito che provoca l'interruzione di un servizio) — il metodo più comune di attacco a risorse di rete. I malintenzionati inviano su un server bersaglio un grande flusso di richieste cui il server non riesce a far fronte e di conseguenza viene messo fuori servizio. Per tali attacchi vengono utilizzati spesso programmi malevoli specifici. Uno di tali programmi, denominato Linux.DDoS.93, è stato analizzato recentemente dagli esperti Doctor Web.

Il trojan Linux.DDoS.93 è stato creato dagli hacker per infettare dispositivi gestiti dai sistemi operativi della famiglia Linux. Presumibilmente questo malware viene distribuito attraverso un set di vulnerabilità ShellShock presente nel software GNU Bash.

Ad avvio Linux.DDoS.93 tenta di modificare il contenuto di alcune directory di sistema Linux in modo di assicurarsi un'esecuzione automatica. Quindi il trojan cerca sul computer sotto attacco altri esemplari del malware Linux.DDoS.93 e se ne trova alcuni, li termina.

Dopo essersi avviato con successo nel sistema compromesso, Linux.DDoS.93 crea due processi figlio. L'uno si scambia informazioni con il server di gestione, mentre l'altro verifica in un ciclo continuo se il processo padre sia in esecuzione, e se il processo padre viene terminato, il processo figlio lo riavvia. A suo turno, il processo padre anche monitora il processo figlio e lo riavvia, qualora necessario — così il trojan sostiene il suo funzionamento continuo sulla macchina infetta.

Linux.DDoS.93 può eseguire i seguenti comandi:

• aggiornare il programma malevolo;
• scaricare e avviare un file specificato nel comando;
• rimuoversi dal computer;
• iniziare un attacco tramite il metodo UDP flood a una porta specificata;
• iniziare un attacco tramite il metodo UDP flood a una porta casuale;
• iniziare un attacco tramite il metodo Spoofed UDP flood;
• iniziare un attacco tramite il metodo TCP flood;
• iniziare un attacco tramite il metodo TCP flood (vengono scritti in pacchetti dati casuali di una lunghezza di 4096 byte);
• iniziare un attacco tramite il metodo HTTP flood con l'uso delle richieste GET;
• iniziare un attacco tramite il metodo HTTP flood con l'uso delle richieste POST;
• iniziare un attacco tramite il metodo HTTP flood con l'uso delle richieste HEAD;
• inviare su 255 indirizzi IP casuali richieste HTTP con parametri specificati;
• completare l'esecuzione;
• inviare il comando “ping”.

Quando il trojan riceve il comando di iniziare un attacco DDoS o di inviare richieste casuali, prima termina tutti i processi figlio e quindi avvia 25 processi nuovi i quali eseguono l'attacco tramite il metodo specificato dai malfattori. La firma antivirale di Linux.DDoS.93 è stata aggiunta ai database di virus Dr.Web per cui questo trojan non rappresenta alcun pericolo ai nostri utenti.

Informazioni sul trojan