APT-groep gebruikt .desktop-bestanden voor infecteren van Linux-systemen

[Captain Kirk]

Securitybedrijven waarschuwen voor een advanced persistent threat (APT)-groep die .desktop-bestanden verstuurt om Linux-systemen mee te infecteren. Een tactiek die al een aantal jaren bekend is. Bij de aanval ontvangt het doelwit een e-mail met als bijlage een zip-bestand. Het zip-bestand bevat een bestand dat op een pdf-bestand lijkt, maar in werkelijkheid een .desktop-bestand is. Het bestand heeft een pdf-icoon en eindigt op .pdf.desktop.

Een .desktop-bestand is een configuratiebestand dat in Linux-desktopomgevingen wordt gebruikt om applicatie shortcuts en launchers mee te definiëren. Het bevat ook een "Exec field" waarmee commando's kunnen worden uitgevoerd. Wanneer de gebruiker het malafide .desktop-bestand opent wordt er een bash commando dat in het Exec field staat uitgevoerd, dat in de achtergrond een payload downloadt. Deze payload downloadt een pdf-document van het internet en laat dit als afleidingsmanoeuvre aan de gebruiker zien, terwijl er in de achtergrond een malafide ELF executable wordt gedownload en uitgevoerd.

Het ELF-bestand is malware waarmee de aanvallers allerlei data van het systeem kunnen stelen. Daarnaast worden aanpassingen uitgevoerd zodat de malware bij elke systeemstart wordt geladen, zo laten securitybedrijven Cyfirma en CloudSEK weten. Volgens de securitybedrijven zijn de aanvallen gericht tegen Indiase overheidsinstanties en het werk van een groep aanvallers genaamd APT36. Het zou om een vanuit Pakistan opererende groep gaan die sinds 2013 actief is.

Organisaties worden onder andere aangeraden hun personeel cybersecurity awareness training te geven, met een nadruk op phishing-indicatoren en risicovolle Linux-bestandstypes. Daarnaast wordt het uitschakelen van .desktop-bestanden van onbetrouwbare bronnen aangeraden.

 

Update

Googles online virusscandienst VirusTotal waarschuwde een aantal maanden geleden voor een nieuwe aanvalsgolf waarbij .desktop-bestanden werden gebruikt.

 

bron: https://www.security.nl