Este nuevo malware para Linux evade la detección mediante sofisticadas técnicas
Con un aumento de casi el 650% en malware y ransomware para Linux este año, alcanzando un máximo histórico en la primera mitad del año 2022, los atacantes encuentran servidores, puntos finales y dispositivos IoT basados en sistemas operativos Linux cada vez más valiosos. Asimismo, encuentran nuevas formas de entregar sus payloads maliciosos.
Un claro ejemplo de esto es que Investigadores han descubierto un nuevo y sigiloso malware para Linux conocido como Shikitega. El malware infecta computadoras y dispositivos de Internet de las Cosas (IoT) con payloads adicionales.
Shikitega explota las vulnerabilidades para elevar sus privilegios, agrega persistencia en el host a través de crontab y, finalmente, lanza un minero de criptomonedas en los dispositivos infectados.
Una intrincada cadena de infecciones
Si bien el método de infección inicial no se conoce en este momento, los investigadores de AT&T que descubrieron Shikitega dicen que el malware utiliza una cadena de infección de varios pasos. En cada paso, el malware envía solo unos pocos cientos de bytes, activa un módulo simple y luego pasa al siguiente.
“El malware Shiketega se envía de una manera sofisticada, utiliza un codificador polimórfico y entrega gradualmente su payload donde cada paso revela solo una parte del payload total”.
Informe de AT&T .
La infección comienza con un archivo ELF de 370 bytes, que es el instalador que contiene el código shell codificado.
La codificación se realiza utilizando el codificador de retroalimentación aditivo polimórfico XOS ‘Shikata Ga Nai’, analizado previamente por Mandiant .
“Usando el codificador, el malware se ejecuta a través de varios bucles de decodificación. Cada bucle decodifica la siguiente capa hasta que se decodifica y ejecuta el payload final del shellcode”.
“El activador del codificador se genera en función de la sustitución de instrucciones dinámicas y el orden de bloques dinámicos. Además, los registros se seleccionan dinámicamente”.
Una vez que se completa el descifrado, se ejecuta el shellcode para comunicarse con los servidores de comando y control del malware (C2) y recibir la shellcode (comandos) adicionales almacenados y ejecutados directamente desde la memoria.
Payloads
Uno de estos comandos descarga y ejecuta ‘Mettle’, un pequeño y portátil payload Meterpreter de Metasploit. Este brinda a los atacantes más opciones de control remoto y ejecución de código en el host.
Mettle obtiene un archivo ELF aún más pequeño, que explota CVE-2021-4034 (también conocido como PwnKit) y CVE-2021-3493. La explotación de estas vulnerabilidades les permite elevar los privilegios y descargar el payload de la etapa final, un minero de criptomonedas, como root.
La persistencia para el criptominero se logra mediante la descarga de cinco scripts de shell que agregan cuatro cronjobs, dos para el usuario root y dos para el usuario actual. Primero verifica si el comando crontab existe en la máquina, y si no, el malware lo instala e inicia el servicio crontab.
A continuación se muestra la lista de scripts descargados y ejecutados para lograr la persistencia:
| Nombre del Script | Detalles |
| unix.sh | Verifica si existen comandos “crontab” en el sistema, si no, lo instala e inicia el servicio crontab. |
| brict.sh | Agrega crontab para que el usuario actual ejecute cryptominer. |
| politrict.sh | Agrega un crontab root para ejecutar el criptominero |
| truct.sh | Agrega crontab para que el usuario actual descargue el criptominero y se configure desde el servidor de comando y control. |
| restrict.sh | Agrega un crontab root para descargar el criptominero y la configuración desde el servidor de comando y control. |
Los crontabs son un mecanismo de persistencia efectivo, por lo que todos los archivos descargados se borran para reducir la probabilidad de que se descubra el malware.
Minería de Monero
El criptominero es XMRig versión 6.17.0, que se enfoca en minar Monero, la criptomoneda centrada en el anonimato y difícil de rastrear.
Para reducir aún más las posibilidades de generar alarmas en los productos de seguridad de la red, los atacantes detrás de Shikitega utilizan servicios de alojamiento en la nube legítimos para alojar su infraestructura de comando y control.
Esta elección cuesta más dinero y pone a los operadores en riesgo de ser rastreados e identificados por las autoridades. No obstante, ofrece un mejor sigilo en los sistemas comprometidos.
El equipo de AT&T reportó un fuerte aumento en el malware de Linux este año, y recomienda a los administradores de sistemas que apliquen las actualizaciones de seguridad disponibles. Además, recomienda usar EDRs en todos los puntos finales y realizar copias de seguridad periódicas de los datos más importantes.
Por ahora, Shikitega parece centrarse en la minería de Monero, pero los atacantes pueden decidir qué otros paylaods más potentes pueden ser más rentables a largo plazo.
Conclusión
Los atacantes continúan buscando formas de enviar malware en nuevos métodos para permanecer bajo el radar y evitar la detección. El malware Shiketega se envía de una manera sofisticada, utiliza un codificador polimórfico y entrega gradualmente su payload donde cada paso revela solo una parte del payload total. Además, el malware abusa de los servicios de alojamiento conocidos para alojar sus servidores de comando y control.
