新型"瘟疫"恶意软件攻击Linux服务器以获取持久SSH访问权限
💡
原文中文，约3700字，阅读约需9分钟。
📝
内容提要
网络安全研究人员发现一种名为'瘟疫'的Linux后门程序，利用PAM模块实现隐蔽的SSH访问，能够逃避主流杀毒引擎的检测，构成严重威胁。该恶意软件通过字符串混淆和反调试机制确保在系统更新后仍能存活，攻击者可绕过凭证验证并隐藏活动痕迹。
🎯
关键要点
- 网络安全研究人员发现名为'瘟疫'的Linux后门程序，利用PAM模块实现隐蔽的SSH访问。
- 该恶意软件能够逃避主流杀毒引擎的检测，构成严重威胁。
- 恶意软件通过字符串混淆和反调试机制确保在系统更新后仍能存活。
- 攻击者可绕过凭证验证并隐藏活动痕迹。
- 恶意软件与Linux基础认证基础设施深度集成，作为合法的PAM模块运行。
- 采用多层技术手段，包括高级混淆技术和反调试机制，确保隐蔽性。
- 静态密码认证允许攻击者通过硬编码的后门密码绕过正常的凭证验证。
- 恶意软件通过取消设置关键环境变量和重定向历史文件，隐藏攻击痕迹。
- 该恶意软件的出现凸显了传统终端安全方法的漏洞，需加强PAM模块完整性检查。
- 各组织应立即审核PAM配置，验证认证模块的完整性，并对可疑认证模式实施监控。
❓
延伸问答
什么是'瘟疫'恶意软件，它的主要功能是什么？
'瘟疫'是一种复杂的Linux后门程序，利用PAM模块实现隐蔽的SSH访问，能够逃避主流杀毒引擎的检测。
'瘟疫'恶意软件如何逃避杀毒引擎的检测？
'瘟疫'通过与Linux基础认证基础设施深度集成，作为合法的PAM模块运行，且采用高级混淆和反调试技术，确保其隐蔽性。
'瘟疫'恶意软件的反调试机制是怎样的？
'瘟疫'会检查二进制文件的文件名和环境变量，以避免被调试器和沙箱检测，从而保护其恶意功能。
攻击者如何利用'瘟疫'实现持久的SSH访问？
攻击者通过在PAM模块中硬编码静态密码，绕过正常的凭证验证，从而实现持久的SSH访问。
'瘟疫'恶意软件对Linux系统的安全性有什么影响？
'瘟疫'的出现凸显了传统终端安全方法的漏洞，表明在面对新型攻击向量时，传统安全工具的局限性。
组织应如何应对'瘟疫'恶意软件的威胁？
各组织应立即审核PAM配置，验证认证模块的完整性，并对可疑认证模式实施监控，以防止类似威胁。
➡️
