來自俄羅斯殺毒廠商Dr. Web的專家發現了Rekoobe，這是一款針對Linux系統的惡意軟件。

Dr.Web在10月時發現了Rekoobe，之后的兩個月，專家們對它進行了分析。Rekoobe木馬最初只會感染Linux SPARC架構，之后它經過升級，可以感染運行于32位和64位英特爾芯片上的的Linux電腦。

木馬介紹

專家解釋稱，Rekoobe木馬本身十分簡單，但它難以檢測。它會使用加密手段來保護配置文件和它與C&C服務器交換的數據。

“Linux.Rekoobe.1會使用加密的配置文件。一旦讀取了配置文件，木馬就會周期性地接收C&C服務器的命令。在特定情況下，與服務器的連接會經由代理。” Dr.Web的一篇博文提到。“惡意軟件會從配置文件中提取授權數據。收發的所有信息會被分割成獨立的塊，每一塊都被加密，并且含有自己的簽名。”

木馬的配置信息會儲存在一個經過XOR算法加密的文件里。文件的路徑可能是以下幾種：

/usr/lib/liboop-trl.so.0.0.0
/usr/lib/libhistory.so.5.7
/usr/lib/libsagented.so.1
/usr/lib/libXcurl
/usr/lib/llib-llgrpc

研究人員發現，Rebooke可以在受感染的系統中執行惡意的payload，進而完全控制目標主機。

“Linux.Rekoobe.1只能夠執行三種命令:下載上傳文件、把接收到的命令發送給Linux解釋器、將輸出傳輸到遠程服務器——這樣黑客就能夠遠程與被感染主機進行交互了。”

不幸的是，Rekoobe的作者已經把這款木馬移植到了其他的操作系統，包括Android、Mac OS X和Windows。

SHA1

a11bda0acdb98972b3dec706d35f7fba59587f99 (SPARC)
04f691e12af2818015a8ef68c6e80472ae404fec (SPARC)
466d045c3db7c48b78c6bb95873b817161a96370 (SPARC)
cd274e6b73042856e9eec98d258a96cfbe637f6f (Intel x86)
8e93cfbaaf7538f8965080d192df712988ccfc54 (Intel x86-64)

Linux惡意軟件

很多用戶可能認為Linux系統能夠免疫惡意軟件，事實上，上個月就出現過針對Linux勒索軟件Linux.Encoder.1，因此我們還是需要保持必要的警惕。