ELF-малварь атакует облако
🧠 Unit 42 раскрывает активную адаптацию Linux ELF-бинарников для атак на облачные окружения.

📌 Контекст
😵 70–90% облачных инстансов используют Linux
☠️ Злоумышленники адаптируют ELF-малварь под:
Backdoors
Droppers
RAT
Wipers
Exploit-бинарники

🔍 Техники злоумышленников
🧬 LD_PRELOAD hijacking — внедрение в процессы через dynamic linker
💉 Внедрение в sshd, перехват SSH-коммуникаций
📡 SOCKS5-прокси и обратные шеллы
🧪 Runtime-инъекции, ICMP-knocking, cron persistence
🗂️ Использование .so-библиотек как малвари

Семейства ELF-малвари
1. NoodleRAT (Linux/Windows)
Backdoor, способный выполнять широкий набор C2-операций:
🧰 Возможности:
Обратный шелл (reverse shell)
SOCKS-прокси (tunneling)
Шифрование трафика
Планировщик задач (scheduled execution)
Загрузка/выгрузка файлов
Маскировка под системные процессы (process name spoofing)
📌 Варианты под Windows и Linux (ELF)
🎯 Цели: Тайланд, Индия, Япония, Малайзия, Тайвань
🕵️ Задействованные акторы: Rocke, Cloud Snooper

2. Winnti
Бэкдор, загружаемый через LD_PRELOAD, без изменения легитимных бинарей.
🧰 Возможности:
Выполнение удалённых команд
Эксфильтрация файлов
Прокси-соединения через SOCKS5
📦 Структура:
libxselinux (основной ELF)
libxselinux.so (подгружаемая библиотека)
🕵️ Задействованные APT-группы:
Starchy Taurus (aka Winnti Group, BARIUM)
Nuclear Taurus (Tumbleweed Typhoon, THORIUM, Bronze Vapor)

3. SSHdInjector
Модифицирует SSH-демон в рантайме для получения постоянного доступа.
🧰 Возможности:
Кража SSH-учёток
Выполнение удалённых команд
Загрузка дополнительной малвари
Доступ к файловой системе
Обратный шелл
Эксфильтрация данных
🕵️ Задействованные группы:
Digging Taurus (aka Daggerfly, Evasive Panda)
🎯 Цели: госучреждения, телеком, разведка

4. Pygmy Goat
Изначально найден на Sophos XG, использует уязвимость libsophos.so (CVE-2022-1040).
📍 Внедрение в SSH через LD_PRELOAD, перехват SSH-сессий
🧰 Возможности:
Обратный шелл
Сниффинг трафика (packet capture)
Создание cron-задач
Туннелирование через SOCKS5
Активация по ICMP-пакетам ("port knocking") или "магическим байтам" в SSH
🎯 Цели: Азиатский госсектор, НПО, здравоохранение, транспорт

5. AcidRain / AcidPour (Sandworm / Razing Ursa)
🔨 Wiper-малварь для Linux-устройств:
AcidRain: под MIPS (роутеры, модемы)
AcidPour: под x86 (облачные хранилища, ICS)
🧰 Возможности:
Использует IOCTL для стирания данных
Удаляет себя после выполнения (defense evasion)
📌 Могут применяться в облаке при доступе к shell через webshell или container escape

🔗 https://unit42.paloaltonetworks.com/elf-based-malware-targets-cloud/
🦔 THF