Los investigadores de seguridad han descubierto una pieza rara de spyware de Linux que actualmente no se ha detectado completamente en todos los principales productos de software de seguridad antivirus, e incluye funcionalidades que rara vez se ven con respecto a la mayoría de los programas maliciosos de Linux, según supo The Hacker News.
Es un hecho conocido que existen muy pocas cepas de malware de Linux en la naturaleza en comparación con los virus de Windows debido a su arquitectura central y también a su baja participación en el mercado, y muchos de ellos ni siquiera tienen una amplia gama de funcionalidades.
En los últimos años, incluso después de la revelación de graves vulnerabilidades críticas en varios tipos de sistemas operativos y software Linux, los ciberdelincuentes no lograron aprovechar la mayoría de ellos en sus ataques. En lugar,
los ataques de minería criptomoneda para obtener ganancias financieras y la creación de redes de bots DDoS mediante el secuestro de servidores vulnerables.
Sin embargo, los investigadores de la firma de seguridad Intezer Labs descubrieron recientemente un nuevo implante de puerta trasera de Linux que parece estar en fase de desarrollo y prueba, pero ya incluye varios módulos maliciosos para espiar a los usuarios de escritorio de Linux.
EvilGnome: Nuevo Linux Spyware
Apodado EvilGnome , el malware ha sido diseñado para tomar capturas de pantalla de escritorio, robar archivos, capturar grabaciones de audio desde el micrófono del usuario, así como descargar y ejecutar más módulos maliciosos de segunda etapa.
De acuerdo con un nuevo informe que Intezer Labs compartió con The Hacker News antes de su lanzamiento, la muestra de EvilGnome que descubrió en VirusTotal también contiene una funcionalidad de keylogger inacabada, lo que indica que su desarrollador lo cargó en línea por error.
El malware EvilGnome se disfraza como una extensión legítima de GNOME, un programa que permite a los usuarios de Linux ampliar la funcionalidad de sus escritorios.
Según los investigadores, el implante se entrega en forma de un script de shell de archivo autoextraíble creado con ‘makeelf’, un script de shell pequeño que genera un archivo de tar comprimido auto extraíble de un directorio.
El implante de Linux también gana persistencia en un sistema específico utilizando crontab, similar al programador de tareas de Windows, y envía datos de usuario robados a un servidor remoto controlado por un atacante.
«La persistencia se logra registrando gnome-shell-ext.sh para ejecutar cada minuto en crontab. Finalmente, el script ejecuta gnome-shell-ext.sh, que a su vez lanza el principal ejecutable gnome-shell-ext», dijeron los investigadores .
Módulos de spyware de EvilGnome
El Spy Agent of EvilGnome contiene cinco módulos maliciosos llamados «Tiradores», como se explica a continuación:
- ShooterSound : este módulo utiliza PulseAudio para capturar el audio del micrófono del usuario y carga los datos en el servidor de comando y control del operador.
- ShooterImage : este módulo utiliza la biblioteca de código abierto de Cairo para capturar capturas de pantalla y cargarlas en el servidor de C&C. Lo hace abriendo una conexión con el servidor de visualización XOrg, que es el backend del escritorio de Gnome.
- ShooterFile : este módulo utiliza una lista de filtros para escanear el sistema de archivos en busca de archivos recién creados y los carga en el servidor de C&C.
- ShooterPing : el módulo recibe nuevos comandos del servidor de C&C, como descargar y ejecutar nuevos archivos, establecer nuevos filtros para el escaneo de archivos, descargar y establecer una nueva configuración de tiempo de ejecución, exfiltrar la salida almacenada al servidor de C&C y detener la ejecución de cualquier módulo de disparo.
- ShooterKey : este módulo no está implementado ni se usa, lo que probablemente es un módulo de registro de teclas sin terminar.
En particular, todos los módulos anteriores cifran sus datos de salida y descifran los comandos recibidos del servidor C&C con la clave RC5 «sdg62_AS.sa $ die3», utilizando una versión modificada de una biblioteca de código abierto rusa.
Posible conexión b / w EvilGnome y Gamaredon Hacking Group
Además, los investigadores también encontraron conexiones entre EvilGnome y Gamaredon Group, un presunto grupo de amenazas ruso que ha estado activo desde al menos 2013 y se ha dirigido a personas que trabajan con el gobierno ucraniano.
A continuación, describí algunas de las similitudes entre EvilGnome y Gamaredon Group:
- EvilGnome utiliza un proveedor de hosting que ha sido utilizado por el Grupo Gamaredon durante años y continúa siendo utilizado por este.
- Se descubrió que EvilGnome también estaba operando en una dirección IP controlada por el grupo Gamaredon hace dos meses.
- Los atacantes EvilGnome también están usando TTLD ‘.space’ para sus dominios, al igual que el Grupo Gamaredon.
- EvilGnome emplea técnicas y módulos, como el uso de SFX, la persistencia con el programador de tareas y la implementación de herramientas de robo de información, que recuerdan las herramientas de Windows del Grupo Gamaredon.
¿Cómo detectar Malware EvilGnome?
Para verificar si su sistema Linux está infectado con el software espía EvilGnome, puede buscar el ejecutable «gnome-shell-ext» en el directorio «~ / .cache / gnome-software / gnome-shell-extensions».
«Creemos que esta es una versión de prueba prematura. Anticipamos que se descubran y revisen versiones más nuevas en el futuro, lo que potencialmente podría arrojar más luz sobre las operaciones del grupo», concluyeron los investigadores.
Dado que los productos de seguridad y antivirus actualmente no detectan el malware EvilGnome, los investigadores recomiendan a los administradores de Linux preocupados que bloqueen las direcciones IP de Comando y Control enumeradas en la sección IOC de la publicación del blog de Intezer.
Créditos: thehackernews.com