Ribuan mesin yang menjalankan Linux telah terinfeksi oleh jenis malware yang terkenal karena sifatnya yang tersembunyi, banyaknya kesalahan konfigurasi yang dapat dieksploitasi, dan luasnya aktivitas jahat yang dapat dilakukan, para peneliti melaporkan pada hari Kamis.
Malware ini telah beredar setidaknya sejak tahun 2021. Ia dipasang dengan mengeksploitasi lebih dari 20.000 kesalahan konfigurasi umum, sebuah kemampuan yang dapat membuat jutaan mesin yang terhubung ke internet menjadi target potensial, kata peneliti dari Aqua Security. Itu juga dapat mengeksploitasi CVE-2023-33426, kerentanan dengan tingkat keparahan 10 dari 10 yang ditambal tahun lalu di Apache RocketMQ, platform perpesanan dan streaming yang ditemukan di banyak mesin Linux.
Badai Sempurna
Para peneliti menyebut malware tersebut Perfctl, nama komponen jahat yang diam-diam menambang mata uang kripto. Pengembang malware yang tidak dikenal memberi nama pada proses tersebut yang menggabungkan alat pemantauan perf Linux dan ctl, singkatan yang biasa digunakan dengan alat baris perintah. Karakteristik khas Perfctl adalah penggunaan nama proses dan file yang identik atau mirip dengan yang biasa ditemukan di lingkungan Linux. Konvensi penamaan adalah salah satu dari banyak cara malware mencoba menghindari perhatian pengguna yang terinfeksi.
Perfctl selanjutnya menyelubungi dirinya sendiri menggunakan sejumlah trik lainnya. Salah satunya adalah ia menginstal banyak komponennya sebagai rootkit, sebuah kelas malware khusus yang menyembunyikan keberadaannya dari sistem operasi dan alat administratif. Mekanisme siluman lainnya meliputi:
- Menghentikan aktivitas yang mudah dideteksi saat pengguna baru login
- Menggunakan a Soket Unix melalui TOR untuk komunikasi eksternal
- Menghapus biner instalasinya setelah eksekusi dan dijalankan sebagai layanan latar belakang setelahnya
- Memanipulasi proses Linux pcap_loop melalui teknik yang dikenal sebagai hooking untuk mencegah alat admin merekam lalu lintas berbahaya
- Menekan kesalahan pesan untuk menghindari peringatan yang terlihat selama eksekusi.
Malware ini dirancang untuk memastikan persistensi, yang berarti kemampuan untuk tetap berada di mesin yang terinfeksi setelah reboot atau upaya untuk menghapus komponen inti. Dua teknik tersebut adalah (1) memodifikasi skrip ~/.profile, yang mengatur lingkungan saat pengguna login sehingga malware dimuat sebelum beban kerja sah yang diharapkan berjalan di server dan (2) menyalin dirinya sendiri dari memori ke beberapa lokasi disk. Pengait pcap_loop juga dapat memberikan persistensi dengan membiarkan aktivitas berbahaya terus berlanjut bahkan setelah muatan utama terdeteksi dan dihapus.
Selain menggunakan sumber daya mesin untuk menambang mata uang kripto, Perfctl juga mengubah mesin tersebut menjadi proxy penghasil keuntungan yang digunakan pelanggan berbayar untuk menyampaikan lalu lintas internet mereka. Peneliti Aqua Security juga mengamati malware tersebut berfungsi sebagai pintu belakang untuk menginstal keluarga malware lainnya.
Assaf Morag, direktur intelijen ancaman Aqua Security, menulis melalui email:
Malware Perfctl menonjol sebagai ancaman yang signifikan karena desainnya, yang memungkinkannya menghindari deteksi sambil mempertahankan persistensi pada sistem yang terinfeksi. Kombinasi ini menimbulkan tantangan bagi para pembela HAM dan memang malware tersebut telah dikaitkan dengan semakin banyak laporan dan diskusi di berbagai forum, menyoroti kesusahan dan frustrasi pengguna yang terinfeksi.
Perfctl menggunakan rootkit dan mengubah beberapa utilitas sistem untuk menyembunyikan aktivitas perangkat lunak cryptominer dan proxy-jacking. Ia menyatu dengan sempurna ke dalam lingkungannya dengan nama yang tampaknya sah. Selain itu, arsitektur Perfctl memungkinkannya melakukan berbagai aktivitas berbahaya, mulai dari eksfiltrasi data hingga penerapan muatan tambahan. Fleksibilitasnya berarti bahwa ia dapat dimanfaatkan untuk berbagai tujuan jahat, sehingga sangat berbahaya bagi organisasi dan individu.
“Malware Selalu Berhasil Memulai Ulang”
Meskipun Perfctl dan beberapa malware yang dipasangnya terdeteksi oleh beberapa perangkat lunak antivirus, peneliti Aqua Security tidak dapat menemukan laporan penelitian apa pun tentang malware tersebut. Namun, mereka dapat menemukan banyak topik di situs terkait pengembang yang membahas infeksi yang konsisten dengannya.
Ini Komentar reddit diposting ke subreddit CentOS adalah tipikal. Seorang admin memperhatikan bahwa dua server terinfeksi pembajak cryptocurrency dengan nama perfcc dan perfctl. Admin ingin bantuan menyelidiki penyebabnya.
“Saya baru mengetahui malware tersebut karena pengaturan pemantauan saya mengingatkan saya akan penggunaan CPU 100%,” tulis admin di postingan April 2023. “Namun prosesnya akan langsung berhenti ketika saya login melalui SSH atau konsol. Segera setelah saya keluar, malware akan kembali berjalan dalam beberapa detik atau menit.” Admin melanjutkan:
Saya telah mencoba menghapus malware tersebut dengan mengikuti langkah-langkah yang diuraikan di forum lain, tetapi tidak berhasil. Malware selalu berhasil memulai ulang setelah saya logout. Saya juga telah mencari string “perfcc” di seluruh sistem dan menemukan file yang tercantum di bawah. Namun menghapusnya tidak menyelesaikan masalah. karena terus muncul kembali setiap kali di-boot ulang.
Diskusi lainnya meliputi: reddit, Tumpukan Melimpah (Spanyol), sayang sekali (Spanyol), brainycp (Rusia), natnetwork (Indonesia), Proxmox.dll (Jerman), Unta2243 (Cina), forumsvr (Korea), exabyte, menit virtual, kesalahan server dan banyak lainnya.
Setelah mengeksploitasi kerentanan atau kesalahan konfigurasi, kode eksploitasi mengunduh muatan utama dari server, yang, dalam banyak kasus, telah diretas oleh penyerang dan diubah menjadi saluran untuk mendistribusikan malware secara anonim. Serangan yang menargetkan honeypot milik peneliti diberi nama payload httpd. Setelah dijalankan, file akan menyalin dirinya sendiri dari memori ke lokasi baru di direktori /temp, menjalankannya, lalu menghentikan proses asli dan menghapus biner yang diunduh.
Setelah dipindahkan ke direktori /tmp, file tersebut dijalankan dengan nama yang berbeda, yang meniru nama proses Linux yang dikenal. File yang dihosting di honeypot diberi nama sh. Dari sana, file tersebut menetapkan proses perintah dan kontrol lokal dan berupaya mendapatkan hak sistem root dengan mengeksploitasi CVE-2021-4043, kerentanan eskalasi hak istimewa yang ditambal pada tahun 2021 di Gpac, kerangka kerja multimedia sumber terbuka yang banyak digunakan.
Malware tersebut terus menyalin dirinya dari memori ke beberapa lokasi disk lainnya, sekali lagi menggunakan nama yang muncul sebagai file sistem rutin. Malware kemudian menjatuhkan rootkit, sejumlah utilitas Linux populer yang telah dimodifikasi untuk berfungsi sebagai rootkit, dan penambang. Dalam beberapa kasus, malware juga memasang perangkat lunak untuk “proxy-jacking,” istilah untuk merutekan lalu lintas secara diam-diam melalui mesin yang terinfeksi sehingga asal usul data yang sebenarnya tidak terungkap.
Para peneliti melanjutkan:
Sebagai bagian dari operasi perintah dan kontrolnya, malware membuka soket Unix, membuat dua direktori di bawah direktori /tmp, dan menyimpan data di sana yang memengaruhi operasinya. Data ini mencakup peristiwa host, lokasi salinannya sendiri, nama proses, log komunikasi, token, dan informasi log tambahan. Selain itu, malware menggunakan variabel lingkungan untuk menyimpan data yang selanjutnya memengaruhi eksekusi dan perilakunya.
Semua biner dikemas, dihapus, dan dienkripsi, yang menunjukkan upaya signifikan untuk melewati mekanisme pertahanan dan menghalangi upaya rekayasa balik. Malware ini juga menggunakan teknik penghindaran tingkat lanjut, seperti menangguhkan aktivitasnya ketika mendeteksi pengguna baru di file btmp atau utmp dan menghentikan malware pesaing untuk mempertahankan kendali atas sistem yang terinfeksi.
Dengan mengekstrapolasi data seperti jumlah server Linux yang terhubung ke internet di berbagai layanan dan aplikasi, seperti yang dilacak oleh layanan seperti Shodan dan Censys, para peneliti memperkirakan bahwa jumlah mesin yang terinfeksi Perfctl mencapai ribuan. Mereka mengatakan bahwa kumpulan mesin yang rentan—yaitu mesin yang belum menginstal patch untuk CVE-2023-33426 atau memiliki kesalahan konfigurasi yang rentan—berjumlah jutaan. Para peneliti belum mengukur jumlah mata uang kripto yang dihasilkan oleh para penambang jahat.
Orang yang ingin mengetahui apakah perangkat mereka telah ditargetkan atau terinfeksi oleh Perfctl harus mencari indikator kompromi yang disertakan di dalamnya postingan hari Kamis. Mereka juga harus mewaspadai lonjakan penggunaan CPU yang tidak biasa atau perlambatan sistem yang tiba-tiba, terutama jika terjadi selama waktu idle. Laporan hari Kamis juga memberikan langkah-langkah untuk mencegah infeksi.
Cerita ini pertama kali muncul di Ars Teknika.
