ztevenreal
- SSHStalker utiliza canales IRC y múltiples bots para controlar los hosts Linux infectados
- La fuerza bruta SSH automatizada propaga rápidamente la botnet a través de infraestructuras de servidores en la nubarrón
- Los compiladores se descargan localmente para crear cargas enseres para una ejecución confiable en todas las distribuciones.
SSHStalker, una botnet de Linux descubierta recientemente, aparentemente depende del protocolo clásico IRC (Internet Relay Chat) para ejecutar sus operaciones.
Creado en 1988, IRC fue alguna vez el sistema de correo instantánea dominante para las comunidades técnicas correcto a su simplicidad, bajas evacuación de orondo de partida y compatibilidad multiplataforma.
A diferencia de los marcos modernos de comando y control, SSHStalker utiliza múltiples bots, canales redundantes y servidores para ayudar el control sobre los dispositivos infectados y al mismo tiempo ayudar bajos los costos operativos.
Estructura de botnet e infraestructura de comando
Los investigadores de la empresa de seguridad Flare documentaron casi 7.000 resultados de disección de bots en un solo mes, principalmente dirigidos a la infraestructura de la nubarrón, incluidos los entornos de Oracle Cloud.
Una vez que un host se ve comprometido, se convierte en parte del mecanismo de propagación de la botnet, escaneando otros servidores en un patrón similar a un reptil.
Posteriormente de la infección, SSHStalker descarga el compilador GCC para crear cargas enseres directamente en el sistema comprometido, lo que garantiza que sus bots IRC basados en C puedan ejecutarse de forma confiable en diferentes distribuciones de Linux.
Estos bots contienen servidores y canales codificados que inscriben al host en la botnet controlada por IRC.
Cargas enseres adicionales denominadas GS y bootbou proporcionan orquestación y secuenciación de ejecución, creando de forma efectiva una red escalable de máquinas infectadas bajo control IRC centralizado.
La persistencia en cada host se mantiene a través de trabajos cron configurados para ejecutarse cada minuto, que monitorean el proceso del bot principal y lo reinician si finaliza, creando un ciclo de feedback constante.
La botnet además aprovecha exploits para 16 CVE antiguos del kernel de Linux que datan de 2009 a 2010, usándolos para prosperar privilegios una vez que una cuenta de legatario con pocos privilegios se ve comprometida.
Más allá del control esencial, SSHStalker tiene mecanismos de monetización integrados, ya que el malware recopila claves de AWS, realiza escaneos de sitios web e incluye capacidades de criptominería a través de PhoenixMiner para la minería de Ethereum.
Aunque existen capacidades DDoS, Flare no ha observado ningún ataque, lo que sugiere que la botnet está en pruebas o acaparando el camino.
Las estrategias defensivas contra SSHStalker enfatizan el monitoreo de las instalaciones del compilador, la actividad cron inusual y las conexiones salientes estilo IRC.
Se recomienda a los administradores que deshabiliten la autenticación de contraseña SSH, eliminen los compiladores de los entornos de producción y apliquen un filtrado de salida fiel.
Suministrar soluciones antivirus sólidas y utilizar buenos protocolos de firewall puede resumir la exposición a esta y otras amenazas de estilo heredado.
A través de pitidocomputadora
Siga TechRadar en Google News y agréganos como fuente preferida para tomar parte, reseñas y opiniones de nuestros expertos en sus feeds. ¡Asegúrate de hacer clic en el renuevo Seguir!
Y por supuesto además puedes Siga TechRadar en TikTok para parte, reseñas, unboxings en forma de video y reciba actualizaciones periódicas de nuestra parte en WhatsApp además.
