محققان امنیتی شرکت Synacktiv کشف یک روت‌کیت جدید GNU/Linux به نام LinkPro را اعلام کردند که در جریان بررسی نفوذ به زیرساخت میزبانی‌شده روی Amazon Web Services (AWS) شناسایی شده است. این بدافزار از دو ماژول eBPF (extended Berkeley Packet Filter) برای مخفی‌سازی خود و فعال‌سازی از راه دور پس از دریافت “بسته جادویی” استفاده می‌کند. مهاجمان ابتدا از آسیب‌پذیری CVE-2024-23897 در سرور Jenkins برای نفوذ اولیه استفاده کرده و سپس تصویر مخرب Docker Hub با نام “kvlnt/vv” را روی چندین کلاستر Kubernetes مستقر کردند.
LinkPro قابلیت عملکرد در دو حالت منفعل (reverse) و فعال (forward) را دارد و می‌تواند از پنج پروتکل مختلف ارتباطی شامل HTTP، WebSocket، UDP، TCP و DNS پشتیبانی کند. این روت‌کیت برای مخفی‌سازی در سطح کرنل از برنامه‌های eBPF نوع tracepoint و kretprobe استفاده می‌کند و در صورت عدم موفقیت، به روش جایگزین بارگذاری کتابخانه مخرب از طریق فایل “/etc/ld.so.preload” متوسل می‌شود. بسته جادویی که برای فعال‌سازی LinkPro استفاده می‌شود، بسته TCP با اندازه پنجره 54321 است که پس از تشخیص آن، مهاجم یک ساعت فرصت دارد تا دستورات خود را ارسال کند.
کلمات کلیدی : روت‌کیت LinkPro, eBPF malware, Jenkins CVE-2024-23897, Kubernetes security, AWS infrastructure attack, بسته جادویی
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.