Dr。Web曝光新型Linux恶意软件脚本功能复杂庞大

　　针对Linux平台的恶意软件，可能不像Windows平台那么普遍。但随着时间的推移，它们正在变得越来越复杂、功能也更加多样。近日，俄罗斯反病毒软件厂商Dr。Web发现了一种新型木马。鉴于其没有特定的应用程序名，所以暂且用Linux。BtcMine。174来指代。与大多数Linux恶意软件相比，它的复杂程度明显要更高，因为其中包含了大量的恶意功能。
　　该木马本身是一个包含1000多行代码的巨型shell脚本，也是能在受感染的Linux系统上执行的第一个文件。
　　它所做的第一件事，就是寻找磁盘上某个具有写入权限的文件夹，这样它就可以复制自己、然后用于下载其它模块。
　　一旦木马在受害系统上站稳了脚跟，就会利用CVE20165195（又称DirtyCOW）和CVE20132094两个特权提升漏洞中的一种。
　　在获取了root权限之后，它就拥有了对操作系统的完整访问权限，然后该木马将自己设为本地守护进程。
　　如果程序尚不存在，它甚至可以自行下载nohup工具来实现这一点。在牢牢掌握了受感染的主机之后，它会继续执行其设计的主要功能mdash；mdash；加密货币挖矿！
　　此外，它还会下载并运行另一款恶意软件mdash；mdash；被称作比尔middot；盖茨木马的DDoS木马mdash；mdash；后者亦带有许多类似的后门功能。
　　你以为这就完了？Dr。Web指出，Linux。BtcMine。174还会查找基于Linux的杀毒软件进程名称，并终止其执行。受害者包括：
　　safedog、aegis、yunsuo、clamd、avast、avgd、cmdavd、cmdmgd、drwebconfigd、drwebspiderkmod、esets、以及xmirrord。
　　更加丧心病狂的是，恶意攻击者对此还不满意mdash；mdash；甚至为自己制作了一份自动运行项文件，将之放到etcrc。local、etcrc。d、etccron。hourly等路径，下载并运行rootkit。
　　专家表示，该rootkit组件在功能上更具侵入性，能够窃取用户在使用su命令时输入的密码，并隐藏文件系统、网络连接、以及运行进程中的文件。
　　此外，Linux。BtcMine。174会运行一个功能，收集有关受感染主机通过SSH连接的所有远程服务器信息、并尝试连接，以便将自身传播到更多的系统。
　　这种SSH自扩展机制，被认为是该木马的主要分发渠道。
　　因其还依赖于窃取有效的SSH凭据，意味着某些Linux系统管理员即便再小心、正确地保护其服务器的SSH连接、并且只允许特定数量的主机连接，他们也可能在不经意间感染其中一个、然后喜迎ldquo；恶意软件全家桶rdquo；。
　　Dr。Web已在GitHub上晾出了该木马各组件的SHA1文件哈希值，以方便系统管理员扫描他们的系统是否存在这种相对较新的威胁。