Symbiote:针对拉丁美洲金融部门的高级Linux平台Rootkit

Symbiote简介

Symbiote是由国外安全公司BlackBerry在今年6月9日披露的一种疑似针对拉丁美洲金融部门的Linux平台高级rootkit，其使用了多种hook技术藏匿自身的行为，具有非常好的免杀性，主要功能是窃取登录凭据并在被感染机器上植入后门。

Symbiote在之前的版本中名称分别为kerneldev.so.bkp、mt64_.so。其中还有一个名为certbotx64的组件，其本质是开源的DNS隧道工具dnscat项目编译出的客户端dnscat项目。经历长时期的开发演进，目前Symbiote较新的版本是名为search.so的64位ELF共享目标文件。

静态解密分析

search.so是共享目标文件，又称动态链接库，通过动态加载到Linux的其他进程中去来运行它的代码。

它通过设置LD_PRELOAD环境变量的值，利用Linux的预加载机制，可以在程序运行前优先加载自身，从下图可以看出search.so在导出函数中劫持了多个库函数。