Новый вредонос-паразит Symbiote почти невозможно обнаружить
В четверг исследователи из команды BlackBerry Threat Research & Intelligence совместно с исследователем безопасности компании Intezer Йоакимом Кеннеди опубликовали в блоге сообщение о вредоносном ПО, названном Symbiote из-за его "паразитической природы".
Команда обнаружила Symbiote несколько месяцев назад. Вредонос действует как библиотека разделяемых объектов (SO), которая загружается во все запущенные процессы через LD_PRELOAD, чем сильно отличается от типичных современных вредоносных программ для Linux, которые обычно пытаются скомпрометировать запущенные процессы. По словам исследователей, вредоносная библиотека разделяемых объектов паразитически компрометирует машину жертвы, а когда ее “когти” глубоко впиваются в систему, вредоносная программа начинает работать как руткит.
Первый образец вредоносного ПО датируется ноябрем 2021 года и, судя по всему, был разработан для атак на финансовые учреждения в Латинской Америке. Однако, поскольку вредоносная программа является новой и крайне скрытной, исследователи не уверены, используется ли Symbiote в каких-либо атаках.
Symbiote имеет несколько интересных особенностей. Например, вредоносная программа использует Berkeley Packet Filter (BPF) – метод отбора пакетов, позволяющий захватить необходимые сетевые пакеты, проходящие через любой интерфейс системы, и направить их на удаленную рабочую станцию для дальнейшего анализа.
"Когда администратор запускает любой инструмент для захвата пакетов на зараженном устройстве, в ядро внедряется байткод BPF, который определяет, какие пакеты должны быть захвачены", – пояснили в BlackBerry. "В этом процессе Symbiote добавляет свой байткод первым, чтобы отфильтровать сетевой трафик, который не должны видеть программы для захвата пакетов".
Одним из наиболее впечатляющих элементов Symbiote является скрытность. Вредоносная программа загружается перед другими динамическими объектами, что позволяет ей подключать определенные функции (включая libc и libpcap) и скрывать свое присутствие. Другие файлы, связанные с Symbiote, также скрыты, а его сетевые записи постоянно очищаются.
Кроме того, Symbiote может собирать учетные данные, подключая функцию чтения libc, а также облегчать удаленный доступ, используя функции подключаемого модуля аутентификации Linux (PAM). Доменные имена, связанные с Symbiote, выдают себя за крупные бразильские банки, а сервер маскируется под Федеральную полицию Бразилии.
Проанализировав код, исследователи назвали Symbiote совершенно новым, прежде не использовавшимся вредоносным ПО для Linux, поскольку его код был уникален.
Теги:
похожие материалы
Российские организации столкнулись с новой волной атак через уязвимости в необновлённых серверах TrueConf
Эксперты «Лаборатории Касперского» обнаружили новую многоступенчатую атаку группировки Head Mare на российские организации с применением бэкдоров PhantomCore и PhantomGraph.
Реестр отечественного ПО должен гарантировать защиту
Такую позицию обозначил Владимир Рубанов, в прошлом член экспертного совета Минцифры, в настоящем — член правления Ассоциации «РУССОФТ», в третьем выпуске подкаста «IT-фронтир» от Astra Cloud (входит в «Группу Астра»).
CSS в письмах позволил атаковать Gmail, Outlook и другие почтовые сервисы
Исследователь PortSwigger Гарет Хейс показал на Black Hat USA 2026 серию атак, при которых вредоносный CSS внутри обычного HTML-письма выходит за границы сообщения и вмешивается в интерфейс веб-почты.
Эксперт назвал признаки мошеннических сайтов
Мошеннические сайты можно распознать по подмене доменного имени, ошибкам в текстах, небрежной верстке и попыткам получить конфиденциальные данные.
Детские смарт-часы позволили незаметно следить за владельцем
Исследователи безопасности Вангелис Стикас и Фелипе Солферини обнаружили серьезные уязвимости в инфраструктуре недорогих детских GPS-часов.
OpenAI допустила наличие у новой ИИ-модели критических возможностей для кибератак
OpenAI заявила, что предварительные испытания разрабатываемой модели Astra показали настолько высокий уровень автономных возможностей в сфере кибербезопасности, что компания пока не может исключить достижение моделью уровня Critical - максимального порога киберриска в собственной Preparedness Framework.
Обзор кибератак и уязвимостей за прошедшую неделю: 3 - 7 августа 2026 года
Редакция Кибер Медиа собрала главные события прошедшей рабочей недели: в фокусе оказались применение нейросетей в медицинских исследованиях, новые способы кражи Passkey из Chrome, масштабное хищение биткоинов из аппаратных кошельков, опасное поведение ИИ-агентов во время кибертестов и атаки на крупнейшие финансовые компании США.
MAX откроет API для сторонних приложений, но доступ получат только отобранные разработчики
Национальный мессенджер MAX объявил о планах открыть API для создания альтернативных клиентских приложений и кастомных пользовательских сценариев.
Минцифры опровергло планы ограничить детям доступ к соцсетям
Минцифры России заявило, что не планирует вводить обязательные ограничения на доступ несовершеннолетних к социальным сетям и мессенджерам.
ИИ-модель Meta* взломала стороннюю компанию во время тестирования
Одна из ИИ-моделей Meta* получила незапланированный доступ в интернет во время проверки ее возможностей в сфере кибербезопасности и воспользовалась уязвимостью в инфраструктуре сторонней компании.