Umbreon ha il nome di un Pokemon, ma è un rootkit per Linux.

Set 06, 2016 Marco Schiaffino Minacce, Trojan 0

Il rootkit agisce a livello utente ed è in grado di aprire una backdoor sulla macchina colpita. Difficile da individuare, circola come strumento di hacking nei bassifondi del Web.

Anche i pirati informatici amano i cartoni animati. L’autore di Umbreon, un rootkit per Linux individuato in questi giorni da Trend Micro, si è ispirato per il nome a un Pokemon che vive nell’oscurità, inserendo nel sistema di controllo del rootkit anche un ASCII art a tema.

Fino a quando i ricercatori di Trend Micro non sono riusciti a metterci sopra le mani, Umbreon era considerato il Kaiser Soze della sicurezza informatica. Gli esperti avevano solo intercettato qualche conversazione sui canali IRC o sui forum che parlavano di “un rootkit per Linux estremamente difficile da individuare”.

Ora gli analisti hanno potuto guardarlo da vicino e possono confermare che la sua fama è meritata. Sotto un profilo tecnico, Umbreon è un rootkit di ring 3, che agisce cioè a un livello relativamente poco profondo del sistema.

Nonostante ciò, Umbreon ha caratteristiche tali che lo rendono estremamente difficile da individuare. Il rootkit, infatti, utilizza una serie di accorgimenti che impediscono agli amministratori e agli strumenti di sistema di individuarne la presenza e di raccogliere informazioni sulla sua attività.

Durante l’installazione, Umbreon crea un utente Linux a cui fa riferimento una backdoor attraverso la quale il cyber-criminale può accedere al sistema. L’account prevede un sistema di autenticazione che dà accesso a una Secure Shell (SSH).

Il traffico TCP relativo alla backdoor, inoltre, viene “nascosto” bloccando le funzioni di analisi del traffico per un determinato intervallo di porte, rendendo così di fatto impossibile individuare il traffico di rete generato dal rootkit.

L’autore del rootkit si è divertito a inserire il Pokemon nell’interfaccia di accesso alla Secure Shell.

Le difficoltà nel rilevare Umbreon sono dovute però al fatto che il rootkit blocca tutta le funzioni libc, che in Linux sono usate per qualsiasi strumento realizzato con il linguaggio di programmazione C, ma indirettamente anche per Perl, PHP, Python e simili.

Secondo i ricercatori di Trend Micro, per mettere a punto uno strumento in grado di rilevare il rootkit è possibile puntare sull’individuazione dei file creati da Umbreon utilizzando direttamente le syscall a livello di Kernel, bypassando così qualsiasi elemento legato a libc.

In alternativa è possibile usare Yara, uno strumento per l’identificazione dei malware basato su regole. Quelle che permettono di individuare Umbreon possono essere scaricate da questo link.

Per rimuovere il rootkit, invece, è necessario utilizzare una distro su LiveCD per rimuovere i file creati dal rootkit (i nomi e la posizione possono variare a seconda di come è stato installato) e correggere la loader library.

Questo, naturalmente, quando è possibile. La versione di Umbreon analizzata dai ricercatori Trend Micro, infatti, è in grado di funzionare sia su piattaforma x86, sia su ARM. Il che significa, secondo gli analisti, che il rootkit è pensato per funzionare anche su dispositivi meno complessi di un computer che utilizzano sistemi Linux. In un caso simile, individuare Umbreon diventa davvero difficile.

Condividi l'articolo