Dr.Web ผู้ให้บริการ Antivirus จากรัสเซียได้พบมัลแวร์โทรจันตัวใหม่ที่มีความสามารถหลากหลายและโจมตีอยู่บนระบบปฏิบัติการ Linux อย่างไรก็ตามยังไม่มีการตั้งชื่อเรียกอย่างเป็นทางการเพียงแต่ให้ชื่อติดตามว่า ‘LinuxBtcMine174’ โดยจุดประสงค์คือการฝังตัวและขุดเหมืองบนเครื่องผู้ใช้งาน อีกทั้งยังสามารถสแกนหาเครื่องที่เชื่อมต่อกันผ่านทาง SSH ได้อีกด้วย<span id="more-51169"></span>

<img class="alignnone size-full wp-image-1705 tie-appear" src="https://www.techtalkthai.com/wp-content/uploads/2014/09/malware_1.jpg" sizes="(max-width: 620px) 100vw, 620px" srcset="https://www.techtalkthai.com/wp-content/uploads/2014/09/malware_1.jpg 620w, https://www.techtalkthai.com/wp-content/uploads/2014/09/malware_1-300x168.jpg 300w" alt="" width="620" height="349" />

LinuxBtcMine174 เป็นมัลแวร์บน Linux ที่มีความสามารถปฏิบัติการครบเครื่องกว่ามัลแวร์ทั่วไปซึ่งเริ่มด้วยโค้ดยาวกว่า 1,000 บรรทัดที่จะถูก Execute ในเครื่องที่ติดมัลแวร์และสิ่งที่พบคือ

1.มัลแวร์จะเข้าไปหาโฟลเดอร์บนดิสก์ที่มีสิทธิ์เขียนเพื่อจะทำสำเนาตัวเองและไฟล์อื่นที่จะดาวน์โหลดตามมาเข้าไปได้

2.ใช้ 2 ช่องโหว่เพื่อยกระดับสิทธิ์เข้าถึงทั้งระบบคือ CVE-2016-5195 (ชื่อเรียกคือ <a href="https://www.zdnet.com/article/the-dirty-cow-linux-security-bug-moos/">Dirty COW</a>) และ CVE-2013-2094

3.ตั้งตัวเองเป็น Local <a href="https://bash.cyberciti.biz/guide/Daemons">Daemon</a> (คำเรียกโปรเซสที่รันอยู่เบื้องหลังในระบบ Linux หรือ Unix) และดาวน์โหลด <a href="https://en.wikipedia.org/wiki/Nohup">nohub</a> utilities

4.สามารถสแกนหาและปิดโปรเซสของมัลแวร์คู่แข่ง(หลายตัว)ที่กำลังขุดเหมืองอยู่จากนั้นจะดาวน์โหลดและเริ่มขุดเหมือง Monero ของตัวเอง

5.ดาวน์โหลดโทรจันที่ชื่อ BillGates ที่สามารถทำการ DDoS ได้เข้ามาเพิ่ม

6.สามารถดูโปรเซสที่อาจเป็นโซลูชันด้าน Antivirus ได้หลายเจ้าและ Kill โปรเซสเหล่านั้น ซึ่ง Dr.Web พบว่ามัลแวร์สามารถหยุดโปรเซส เช่น Safedog, Aegis, Yuanso, Clamd, Avast, Avgd, Cmdavd, Arweb-configd, Dwweb-sperder-kmod, Esets, Xmirrord ได้

7.เพิ่มตัวเองเข้าไปในส่วน Autorun เช่น /etc/rc.local, etc/rc.d, etc/cron.hourly เป็นต้นเพื่อดาวน์โหลดและรัน Rookit ซึ่งมีฟีเจอร์ที่หนักหน่วงกว่า เช่น ขโมยรหัสผ่านในคำสั่ง Su ของผู้ใช้ ,ซ่อนไฟล์และการเชื่อมต่อเครือข่าย รวมถึงโปรเซสที่รันอยู่ได้ด้วย

8.สามารถเก็บข้อมูลของเซิร์ฟเวอร์ที่เชื่อมต่ออยู่ผ่าน SSH ได้ด้วย รวมถึงมีความพยายามที่จะเจาะเข้าไปทางนั้นเพื่อกระจายตัวเองไปยังเครื่องอื่นอีกด้วย

อย่างไรก็ตามสำหรับผู้สนใจทาง Dr.Web ได้อัปโหลด SHA1 ของมัลแวร์ตัวนี้ไว้แล้วบน <a href="https://github.com/DoctorWebLtd/malware-iocs/tree/master/Linux.BtcMine.174">GitHub</a> ให้ลองนำไปตรวจสอบกันได้ และสามารถอ่านรายงานฉบับเต็มได้<a href="https://vms.drweb.com/virus/?i=17645163">ที่นี่</a>

<em>ที่มา : <a href="https://www.zdnet.com/article/new-linux-crypto-miner-steals-your-root-password-and-disables-your-antivirus/">https://www.zdnet.com/article/new-linux-crypto-miner-steals-your-root-password-and-disables-your-antivirus/</a> <a href="https://www.techtalkthai.com/new-cryptominer-on-linux-with-plenty-of-intrusive-features/?fbclid=IwAR0ukaIUt_n1JwdnebhSnBR8atXm8yr_3xtMg6mOrk8BbzuVT4jes5K5t_8">https://www.techtalkthai.com/new-cryptominer-on-linux-with-plenty-of-intrusive-features/?fbclid=IwAR0ukaIUt_n1JwdnebhSnBR8atXm8yr_3xtMg6mOrk8BbzuVT4jes5K5t_8</a></em>