Cервис управления информационной безопасностью
Cервис управления информационной безопасностью
Вход Регистрация
MITRE ATT&CK - Инструмент Exaramel for Linux
CVE уязвимости
БДУ ФСТЭК уязвимости
НКЦКИ уязвимости
MITRE ATT&CK
БДУ ФСТЭК
Новая БДУ ФСТЭК
Риски
Каталоги
MITRE ATT&CK
Инструмент
Exaramel for Linux
Куда я попал?
SECURITM это SGRC система, ? автоматизирующая процессы в службах информационной безопасности. SECURITM помогает построить и управлять ИСПДн, КИИ, ГИС, СМИБ/СУИБ, банковскими системами защиты.
А еще SECURITM это место для обмена опытом и наработками для служб безопасности.
Подробнее
Наш канал

Exaramel for Linux

Exaramel for Linux is a backdoor written in the Go Programming Language and compiled as a 64-bit ELF binary. The Windows version is tracked separately under Exaramel for Windows.(Citation: ESET TeleBots Oct 2018)
ID: S0401
Type: MALWARE
Platforms: Windows
Version: 1.3
Created: 26 Aug 2019
Last Modified: 11 Apr 2024

Techniques Used
Domain ID Name Use
Enterprise T1548 .001 Abuse Elevation Control Mechanism: Setuid and Setgid

Exaramel for Linux can execute commands with high privileges via a specific binary with setuid functionality.(Citation: ANSSI Sandworm January 2021)
Enterprise T1071 .001 Application Layer Protocol: Web Protocols

Exaramel for Linux uses HTTPS for C2 communications.(Citation: ESET TeleBots Oct 2018)(Citation: ANSSI Sandworm January 2021)
Enterprise T1059 .004 Command and Scripting Interpreter: Unix Shell

Exaramel for Linux has a command to execute a shell command on the system.(Citation: ESET TeleBots Oct 2018)(Citation: ANSSI Sandworm January 2021)
Enterprise T1543 .002 Create or Modify System Process: Systemd Service

Exaramel for Linux has a hardcoded location under systemd that it uses to achieve persistence if it is running as root.(Citation: ESET TeleBots Oct 2018)(Citation: ANSSI Sandworm January 2021)
Enterprise T1070 .004 Indicator Removal: File Deletion

Exaramel for Linux can uninstall its persistence mechanism and delete its configuration file.(Citation: ANSSI Sandworm January 2021)
Enterprise T1027 .013 Obfuscated Files or Information: Encrypted/Encoded File

Exaramel for Linux uses RC4 for encrypting the configuration.(Citation: ESET TeleBots Oct 2018)(Citation: ANSSI Sandworm January 2021)
Enterprise T1053 .003 Scheduled Task/Job: Cron

Exaramel for Linux uses crontab for persistence if it does not have root privileges.(Citation: ESET TeleBots Oct 2018)(Citation: ANSSI Sandworm January 2021)

Groups That Use This Software
ID Name References
G0034 Sandworm Team

(Citation: ESET TeleBots Oct 2018) (Citation: ANSSI Sandworm January 2021)

References

  1. Cherepanov, A., Lipovsky, R. (2018, October 11). New TeleBots backdoor: First evidence linking Industroyer to NotPetya. Retrieved November 27, 2018.
  2. ANSSI. (2021, January 27). SANDWORM INTRUSION SET CAMPAIGN TARGETING CENTREON SYSTEMS. Retrieved March 30, 2021.
Навигация

Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.