Доктор Веб: новый троян для Linux атакует сайты

Компания «Доктор Веб» исследовала нового троянца, способного заражать операционные системы семейства Linux. Данная вредоносная программа имеет возможность сканировать удаленные веб-сайты на наличие уязвимостей, а также атаковать ресурсы с заданными адресами по протоколу HTTP. Примечательной особенностью троянца является то обстоятельство, что злоумышленники могут управлять им с помощью протокола для обмена текстовыми сообщениями IRC.



Вредоносная программа, получившая наименование Linux.BackDoor.Sessox.1, регистрирует себя на инфицированной машине в параметрах автозагрузки. Затем троянец подключается к управляющему серверу, на котором работает чат, поддерживающий обмен текстовыми сообщениями по протоколу IRC (Internet Relay Chat), — в этом чате бот и получает команды от злоумышленников.

Троянец способен атаковать заданный злоумышленниками веб-узел Интернета путем отправки на него повторяющихся GET-запросов. Также по команде Linux.BackDoor.Sessox.1 может выполнять сканирование атакуемого сервера на наличие ShellShock-уязвимости, которая позволяет удаленно выполнить на этом сервере произвольный код. Схожим образом вредоносная программа может осуществлять сканирование PHP-сценариев с помощью специальным образом сформированных POST-запросов с аналогичной целью — запуск на уязвимом сервере стороннего скрипта. Таким образом, в частности, злоумышленники могут установить в скомпрометированной системе копию троянца Linux.BackDoor.Sessox.1, обеспечив его дальнейшее распространение.