近期,INTEZER发现了一种新的Linux病毒，该病毒在发现之初在virustotal上检测率为0。该病毒使用.so文件作为payload，使用多种持久化方式，其中有一种持久化方式实现简单且效果明显，本文将对该技术点进行剖析和阐述。

亮点：直接patch文件实现持久化

linux动态链接库预加载机制

动态链接库预加载机制指的是系统提供给用户运行的一种自定义方式，允许用户在执行程序之前先加载用户自定库的动态链接库，该机制常被Linux病毒用于持久化:将恶意的链接库(.so文件)添加至配置文件中，使用户在执行程序前执行该链接库,实现上线。常见方式有：

1.修改LD_PRELOAD环境变量加载动态链接库,简单实现命令如下:

打补丁修改/etc/ld.so.preload

在该样本中，攻击者使用了2种持久化方式都是利用/etc/ld.so.preload进行持久化。其中，一种是上述的持久化方式，而另一种是使用patch字符串的方式进行持久化。

对该样本逆向分析可知：

1.攻击者先读取lib64/ld-linux-x86-64.so.2文件，判断payload .so文件是否已经成功加载

3.如果2中的持久化方式被阻拦，没有实现持久化。则使用patch二进制文件的方式进行替换

以十六进制的形式查看/etc/ld.so.preload，如下图，可以发现：在我们往配置文件中添加了要加载的.so文件后，可以直接看到相关数据和字符串

可以发现直接使用patch的方式有以下几个优点：

1.现有利用/etc/ld.so.preload的方式作为edr等安全产品的敏感检测点，容易触发警告，该方式一定程度上可以绕过检测。

2.直接修改二进制文件的方式没有冗余的命令，实现简单，效果明显。

3.之前的持久化方式在防御者使用新的干净文件替换后，便会失效，而该方式会重新感染配置文件。