新的Linux后门隐藏通信协议

2013-11-20 139067人围观 ,发现 16 个不明物体 资讯

日前,赛门铁克发布博客称,在五月的一次安全事件中,发现一名黑客入侵了一个大型物联网托管服务商,并且在内部管理系统上使用了一个有意思的Linux后门 – Fokirtor。

经过赛门铁克研究发现,该后门能够伪装它的通信流量,并伪装成正常的SSH通信流量。该后门支持攻击者运行常用的功能,如执行远程命令、反向链接到C&C服务器,Fokirtor能够监控SSH网络流量,如果检测到流量中存在冒号、感叹号、分号、句号(“:!;.”),一旦检测到流量存在这些字符,Fokirtor代码能够解析除这些字符之外的流量,然后提取经过Blowfish和Base64加密的命令。

当服务器感染该后门后,它从机器上收集以下信息:

1、主机名和IP地址
2、端口
3、密码
4、SSH密钥
5、用户名

收集之后对信息进行加密,并发送到攻击者的C&C服务器。

赛门铁克分析师表示,要识别网络中是否存在该后门,可以看流量中是否包含了感叹号字符,正常的SSH流量中是不会包含感叹号的。

发表评论

已有 16 条评论

取消
Loading...
css.php