Обнаружить бэкдор удалось только недавно, благодаря анализу артефактов, загруженных на VirusTotal еще в конце июля 2024 года. Plague не использует баги ядра, не взламывает права или процессы. Он становится частью системы, внедряясь туда, где его не ждут. И это куда страшнее. Ведь если подменить доверенный компонент, никакой антивирус, никакая система мониторинга не поможет. Потому что все привычно ищут аномалии, а Plague аномалией не выглядит.
❕ Почему Plague так опасен:
🟢Plague невидим для антивирусов. На него не среагировала ни одна из 66 антивирусных систем сервиса VirusTotal.
🟢Он не оставляет следов в логах: вся история команд перенаправляется в /dev/null.
🟢Он устойчив к обновлениям и перезагрузкам — встраивается как нативный модуль системы.
🟢Его можно удаленно заменить на новую версию или стереть без следа.
🟢Бэкдор использует современные методы маскировки: продвинутое обфусцирование строк, собственная реализация шифрования на базе алгоритмов KSA/PRGA, генератор псевдослучайных чисел DRBG, противодействие отладке, хардкод пароли и команды для стирания SSH-логов.
Звучит как сюжет фильма? Так вот – в коде действительно есть цитата из киберпанк-фильма «Хакеры» 1995 года: «Uh. Mr. The Plague, sir? I think we have a hacker».
Так имплант и получил свое имя.
Но если убрать романтику, это не весело. Потому что Plague – это не про атаку через дыру в безопасности. Это про то, как злоумышленники незаметно меняют кирпич в фундаменте вашего дома на свой. Система, основанная на доверии к «легитимным» компонентам, трещит. Больше нельзя верить файлу просто потому, что он лежит в нужной папке.
Вот и получается, что новый бэкдор – это не просто очередной вредонос под Linux. Это симптом появления нового уровня угроз, при которых взлом начинается не с эксплуатации уязвимости, а с подмены того, чему система безоговорочно доверяет.