13 aprile 2015

Gli specialisti Doctor Web hanno studiato un nuovo trojan capace di infettare i sistemi operativi della famiglia Linux. Questo programma malevolo può cercare vulnerabilità in siti web remoti e attaccare attraverso il protocollo HTTP le risorse impostate dagli hacker. Una particolarità: i malintenzionati possono gestire il trojan attraverso il protocollo per lo scambio di messaggi di testo IRC.

Il programma malevolo, denominato il Linux.BackDoor.Sessox.1, si registra nei parametri di esecuzione automatica sulla macchina infetta. Quindi il trojan si connette al server di controllo su cui è attiva una chat che supporta lo scambio di messaggi di testo attraverso il protocollo IRC (Internet Relay Chat) — in questa chat il bot riceve comandi dagli intrusi. Tra i comandi supportati dal trojan ci sono i seguenti:

• entrare in un canale chat IRC con le credenziali impostate;
• trasmettere al canale IRC le informazioni su tempo di attività della macchina infetta (uptime);
• sostituire il nickname con quello impostato;
• inviare un messaggio PONG sul server (in risposta al comando PING);
• eseguire una delle funzioni:
  • iniziare un attacco al sito impostato inviando sempre nuove richieste GET (HTTP Flooder);
  • iniziare a cercare la vulnerabilità ShellShock (ShellShock Scanner);
  • iniziare la scansione di script PHP (PHP Scanner);
  • avviare un server proxy (SOCKS5 Proxy).

Il trojan può attaccare un nodo di Internet impostato dagli hacker inviando richieste GET ripetute. Inoltre, su comando il Linux.BackDoor.Sessox.1 può cercare sul server attaccato la vulnerabilità ShellShock che consente di eseguire su questo server qualsiasi codice. In modo simile, il programma malevolo può fare la scansione di script PHP tramite richieste POST appositamente formate con lo stesso scopo - eseguire sul server colpito uno script estraneo. I malintenzionati, in particolare, possono installare nel sistema compromesso una copia del trojan Linux.BackDoor.Sessox.1, garantendo la sua ulteriore diffusione.

La firma antivirale Linux.BackDoor.Sessox.1 è stata inserita nel database dei virus Dr.Web perciò il trojan non rappresenta un rischio per i nostri utenti.