Linux Sistemlerini Hedef Alan Plague Zararlısı SSH Üzerinden Kalıcı Erişim Sağlıyor
Linux altyapılarına sızmak için geliştirilen yeni bir zararlı yazılım, yaklaşık bir yıldır güvenlik yazılımlarının radarına takılmadan faaliyet gösteriyor. “Plague” adı verilen zararlı, sistemlerde kimlik doğrulama süreçlerine entegre olarak saldırganlara sürekli SSH erişimi sunuyor ve iz bırakmadan gizlenebiliyor.
Zararlı Yazılım Kimlik Doğrulama Altyapısına Derinlemesine Entegre Oluyor
Plague zararlısı, Nextron Systems araştırmacıları tarafından tespit edildi. Güvenlik uzmanları, zararlının Linux sistemlerde kullanılan PAM (Pluggable Authentication Modules) altyapısını hedef aldığını belirtti. Zararlı, sahte bir PAM modülü olarak çalışıyor ve sisteme yerleştirildikten sonra kullanıcı doğrulama süreçlerini manipüle ederek saldırganlara kimlik doğrulama olmadan erişim imkânı sağlıyor.
Uzmanlara göre Plague, sistem güncellemelerinden etkilenmeden çalışmaya devam ediyor ve neredeyse hiç dijital iz bırakmıyor. Bu da saldırganların tespit edilmeden uzun süre sistemde kalabilmesine neden oluyor.
Zararlı yazılım, aktif hâle geldiğinde çalışma ortamını özel olarak temizliyor. Özellikle SSH oturumlarına ait çevresel değişkenler, örneğin SSH_CONNECTION ve SSH_CLIENT, sistemden unsetenv komutuyla kaldırılıyor. Ayrıca komut geçmişinin tutulduğu HISTFILE dosyası /dev/null konumuna yönlendirilerek oturum sırasında yapılan işlemlerden hiçbir kayıt tutulmuyor.
Sistem oturumlarına ait günlükler silindiği için saldırganın etkinlikleri klasik yöntemlerle tespit edilemiyor. Bu da adli bilişim uzmanlarının incelemelerini zorlaştırıyor.
Nextron tarafından yürütülen analizler, Plague zararlısının çeşitli Linux dağıtımlarında derlenmiş farklı sürümlerini ortaya çıkardı. Derleme sırasında kullanılan farklı GCC versiyonları, zararlının aktif şekilde geliştirildiğini gösteriyor. Ayrıca, son bir yıl içerisinde zararlıya ait farklı varyantların VirusTotal platformuna yüklendiği fakat hiçbir antivirüs motoru tarafından zararlı olarak işaretlenmediği tespit edildi. Bu durum, zararlının klasik güvenlik çözümlerinden nasıl ustalıkla kaçabildiğini ortaya koyuyor.
Güvenlik araştırmacısı Pierre-Henri Pezier, Plague zararlısının gelişmiş gizlenme yöntemleriyle öne çıktığını ve Linux sistem güvenliğine ciddi bir tehdit oluşturduğunu ifade etti. Plague, sabit parola tanımları, ortam değişkenlerinin manipülasyonu ve dâhilî sistem işleyişine entegre yapısıyla geleneksel tarama araçları tarafından kolayca tespit edilemiyor.
Mayıs ayında da benzer şekilde Linux PAM altyapısını kullanan başka bir zararlı yazılımın keşfedildiği hatırlatıldı. O zararlı da kullanıcı parolalarını çalmak ve yetkisiz kalıcı erişim sağlamak için benzer tekniklerden yararlanıyordu.
