LinuxParty

Con un incremento de casi el 650% en malware y ransomware para Linux este año, alcanzando un máximo histórico en la primera mitad del año 2022, los atacantes encuentran servidores, puntos finales y dispositivos IoT basados ​​en sistemas operativos Linux cada vez más valiosos. Asimismo, encuentran nuevas formas de entregar sus payloads maliciosos.

Un claro ejemplo de esto es que Investigadores han descubierto un nuevo y sigiloso malware para Linux conocido como Shikitega. El malware infecta computadoras y dispositivos de Internet de las Cosas con payloads adicionales.

Una intrincada cadena de infecciones

Si bien el método de infección inicial no se conoce en este momento, los investigadores de AT&T que descubrieron Shikitega dicen que el malware utiliza una cadena de infección de varios pasos. En cada paso, el malware envía solo unos pocos cientos de bytes, activa un módulo simple y luego pasa al siguiente.

«El malware Shiketega se envía de una manera sofisticada, utiliza un codificador polimórfico y entrega gradualmente su payload donde cada paso revela solo una parte del payload total».

El archivo ELF que inicia la cadena de infección

La codificación se realiza utilizando el codificador de retroalimentación aditivo polimórfico XOS ‘Shikata Ga Nai’, analizado previamente por Mandiant . «Usando el codificador, el malware se ejecuta a través de varios bucles de decodificación. Cada bucle decodifica la siguiente capa hasta que se decodifica y ejecuta el payload final del shellcode».

Bucles de descifrado de Shikata Ga Nai

Una vez que se completa el descifrado, se ejecuta el shellcode para comunicarse con los servidores de comando y control del malware y recibir la shellcode adicionales almacenados y ejecutados directamente desde la memoria.

Payloads

Uno de estos comandos descarga y ejecuta ‘Mettle’, un pequeño y portátil payload Meterpreter de Metasploit.

Shellcode descargado que obtiene Mettle

Mettle obtiene un archivo ELF aún más pequeño, que explota CVE-2021-4034 y CVE-2021-3493. La explotación de estas vulnerabilidades les permite elevar los privilegios y descargar el payload de la etapa final, un minero de criptomonedas, como root.

Explotación de PwnKit para elevar los privilegios a root

La persistencia para el criptominero se logra mediante la descarga de cinco scripts de shell que agregan cuatro cronjobs, dos para el usuario root y dos para el usuario actual.

A continuación se muestra la lista de scripts descargados y ejecutados para lograr la persistencia:

Minería de Monero

El criptominero es XMRig versión 6.17.0, que se enfoca en minar Monero, la criptomoneda centrada en el anonimato y difícil de rastrear.

Descripción general de la cadena de infección de Shikitega

Para reducir aún más las posibilidades de generar alarmas en los productos de seguridad de la red, los atacantes detrás de Shikitega utilizan servicios de alojamiento en la nube legítimos para alojar su infraestructura de comando y control.

Esta elección cuesta más dinero y pone a los operadores en riesgo de ser rastreados e identificados por las autoridades. No obstante, ofrece un mejor sigilo en los sistemas comprometidos.

El equipo de AT&T reportó un fuerte aumento en el malware de Linux este año, y recomienda a los administradores de sistemas que apliquen las actualizaciones de seguridad disponibles.

Conclusión

Los atacantes continúan buscando formas de enviar malware en nuevos métodos para permanecer bajo el radar y evitar la detección. El malware Shiketega se envía de una manera sofisticada, utiliza un codificador polimórfico y entrega gradualmente su payload donde cada paso revela solo una parte del payload total.