从病毒到“基础软件污染”，Linux 真的安全吗？( 三 ) _Linux

以sshd后门做持久化攻击具有极高定向性，且真实影响范围远大于直接影响。从样本维度看，虽然检出样本中，存在感染100个以上ECS实例这样的“通用”样本，但绝大多数样本仅定向投放，至多污染5个实例；这种样本使用上的“不经济”做法，能够有效避免引起注意而被杀，同时分散审计、检测者的精力，主要也是得益于能够快速、批量生成大量样本的特性。而从用户维度看，绝大多数的用户，仅有1个实例被植入后门，受影响用户的机器后门污染率仅0.59%；这并不说明影响范围受限，恰恰相反，投放上疑似有意识的克制，在行动中规避了受害用户自己的察觉，从结果看，因为同个用户的批量ECS实例有较高可能共用账户密码，所以在仅有1个实例存在窃密后门情况下，其余实例也就处在无痕迹入侵的威胁中，这个威胁的影响面比直接告警后门的机器数，预估为170倍以上；同时，也有发现部分客户的登录跳板机sshd出现后门替换痕迹，这更放大了实际威胁程度。

sshd后门的出现与已知模式的入侵行为有很高相关性。阿里云云安全中心具备对业界已知的各类入侵行为的检测、防御能力。从后门检测和入侵的关联来看，18.2%实例的后门植入有前置已知入侵历史，此时后门的作用是权限维持；26.2%实例随后门植入有后置入侵动作，此时后门则作为攻击入口的抢滩；大量实例在发现后门sshd样本之前，已经存在历史残留的rootkit用于隐藏入侵痕迹，其中存在多种针对性隐藏sshd后门网络行为和文件的rootkit 。可见，sshd后门的使用和作用并不单一。而从影响看，大量后门的告警出现在规模较高的大客户范围内，大客户在受害用户中占比很高，且存在目标行业选择性，因此不能简单将sshd后门视作一般意义上的病毒，而应联系到其上下游，关联各类型异常做攻击事件定性分析。

文章插图
Linux基础软件威胁疑云：从已知到“未知”
上述以OpenSSH为例，揭示了针对Linux开源基础软件，一个公开的恶意代码植入思路可能演化出的多样形式。由此切入，我们再来探讨Linux开源程序面临的威胁全景。
? 已知：基础软件污染事件
OpenSSH被选择作为后门载体，一方面由于其本身是登录入口程序，具有功能敏感性；另一方面由于作为Linux系统的daemon程序之一，具有常驻后台的特性。实际上，Linux的基础软件，包括操作系统基本功能的基础程序，以及Linux服务器主机常用的服务程序，都由于以上两个特性之一，存在已知或未曾披露过的污染。
Linux操作系统基础程序：病毒持久化温床
Linux由于系统设计理念，存在大量系统原子功能设计为基础程序（如ls、ps、grep等），大量与系统的交互功能由这些基础程序的调用串接完成，因此这些基础软件总是不可避免地得以高频调用。另一些系统程序，类似sshd，是默认后台执行的daemon看守程序，涉及底层系统管理、监控、服务提供等功能。因此这些程序天然的成为恶意代码持久化运行的目标载体。
在DDG僵尸网络中，多种入侵和感染方式结合用于确保挖矿任务的成功下发、维持和隐藏。在最新的样本分析中，阿里云安全运营中心发现在过往的入侵行为中，存在将多例系统基础程序进行替换的历史。被替换的基础程序涉及grep，awk，sendmail，chattr，pkill，lsattr，sleep，wget等。为保证恶意程序本身简洁且高度兼容，这些用于替换的程序没有选择在独立的源码基础上进行修改（即，替换版本的pkill并非原版的pgrep/pkill源码编译），而是统一采用busybox源码插入后门代码，编译后的二进制程序替换到目标系统路径后，由main调用到DDG的木马代码，如下图。与此类似，近期也新定位到一类新增的系统程序替换污染，将若干系统程序替换为由glibc源码中加入了恶意main代码之后编译的二进制程序。

文章插图
另一部分具有“入口”性质的Linux系统基础程序，也存在广泛的感染风险威胁。现已观察到，agetty、dhclient、bash、sftp-server、sudo、login、irqbalance、gssproxy、anacron等代码版本长期稳定的系统程序，存在频繁的更新、挪移操作；而对于Linux系统服务的daemon程序，也是入侵中的篡改、后门植入的敏感领域；在近两年，阿里云安全运营中心已经发现有包括如下系统daemon存在可疑文件变动：dbus-daemon，systemd-logind，systemd-journald，auditd，ntpd，rsyslogd，chronyd，lvmetad，atd，rpc.statd，packagekitd，xinetd，vsftpd，等等。针对以上可疑的文件挪移、篡改，阿里云云安全中心已经具有监测告警的模型，预警用户进行审计；对于样本的恶意代码分析检测，也已经具有大量沉淀，且在逐步覆盖对可疑事件中的样本的判别能力。