🕵️‍♂️ Fileless-атаки на Linux: Невидимый враг в памяти вашей OC

Для многих Linux - эталон стабильности и безопасности. Но именно эта репутация делает его лакомой мишенью. Атаки, о которых пойдет речь, не оставляют следов на диске, что ставит под удар традиционные антивирусные решения.

Что это такое?

Бесфайловая атака - это техника, при которой вредоносный код выполняется непосредственно в оперативной памяти, минуя жесткий диск. Вместо того чтобы записывать .exe или .elf файл, злоумышленники используют легитимные инструменты и функции операционной системы.

Главный «сообщник» таких атак в Linux - механизм memfd (memory file descriptor). Он позволяет создавать анонимные файлы прямо в RAM. По сути, злоумышленник создает в памяти файл, записывает в него вредоносный код (например, майнер) и запускает его как обычный процесс. Для системы это выглядит как легитимная активность.

Реальные примеры подобных атак:

1. PyLoose (Июнь 2023): Обнаружен компанией Wiz. Это простой Python-скрипт, который через уязвимый и публично доступный Jupyter Notebook загружал в память майнер Monero (XMRig). Весь процесс - от загрузки скрипта до выполнения майнера - происходил в памяти, не оставляя файлов.

2. Perfctl (Октябрь 2024): Аналитики Aqua Nautilus нашли сложный и персистентный загрузчик, который годами заражал тысячи серверов. Он использует целый арсенал для скрытности:
- Маскировка под легитимные процессы (имя perfctl похоже на системную утилиту);
- Rootkit-функциональность для сокрытия в системе;
- Остановка майнинга при входе администратора в систему;
- Использование Tor для скрытого канала связи.

Чем они опасны?

- Скрытность. Традиционные сигнатурные сканеры бессильны, так как файлов для проверки нет.
- Сложность расследования. После перезагрузки OC следы атаки «испаряются» из памяти.
- Прямое воздействие. Целью чаще всего является криптомайнинг (кража вычислительных ресурсов) или проксиджекинг (использование вашего сервера как прокси для чужих целей). Однако тот же механизм можно использовать для кражи данных или установки бэкдора.

Базовые методы защиты:

1. Принцип минимальных привилегий
Запретите выполнение системных команд в таких сервисах, как Jupyter Notebook. Используйте строгое управление доступом (RBAC).

2. Регулярное обновление
Своевременно устанавливайте патчи. Perfctl, например, использовал уязвимости в Apache RocketMQ.

3. Рекомендации по защите ОС
- Монтируйте временные директории (/tmp, /dev/shm) с опцией noexec, чтобы предотвратить запуск бинарников оттуда.
- Сегментируйте сеть и блокируйте исходящие соединения на известные майнинг-пулы и через Tor.

4. Поведенческий анализ
Динамический анализ в системе ATHENA с мониторингом памяти и анализом поведения процессов могут эффективно обнаруживать такие атаки. Ищите аномальную активность: создание memfd, подозрительные цепочки выполнения команд (например, из Python прямо в майнер).

#Malware #Linux #Fileless