Malware de origem chinesa se esconde no Linux até ser ativado pelos criminosos

Um novo malware focado em sistemas e servidores com Linux é capaz de se esconder de sistemas de monitoramento e softwares de segurança até ser ativado por “pacotes mágicos”. A praga Syslogk, de origem chinesa, cria uma backdoor nestas plataformas, que pode ser ligada ou desligada remotamente pelos criminosos, de acordo com a necessidade de explorações e comprometimentos das estruturas onde estiver instalado.

• Ataques de DDoS a partir de Linux aumentaram 254% em 2022
• Linux e softwares de código aberto podem ser o futuro da segurança digital

De acordo com os pesquisadores da Avast, que falaram sobre o tema, se trata de um malware ainda em desenvolvimento e que vem sendo usado em ataques contra infraestruturas e sistemas Linux. Ele estaria ligado a um grupo de ameaças chinês, o APT31 ou Zirconium, e entregaria um backdoor conhecido como Rekoobe. Já o Syslogk seria baseado em ferramentas de exploração que seguem em desenvolvimento, atingindo diferentes kernels do sistema operacional e ampliando suas capacidades de exploração e furtividade.

No caso analisado pelos pesquisadores, a praga chegou a partir de um servidor SMTP de e-mail, criado pelos criminosos para ser instalado nas máquinas das vítimas. O malware permaneceu dormente no sistema até receber um “pacote mágico”, como são chamados fluxos de dados que usam formatos especiais para ativar recursos sem a necessidade de uma porta de escuta, com comandos altamente furtivos que dão acesso a possibilidades maliciosas igualmente ocultas.

Neste caso, a tarefa é a ativação do Rekoobe a partir do Syslogk, com o mesmo processo também podendo ser usado para desativar a backdoor e até a remover completamente dos sistemas contaminados. Tais atributos também fazem com que a ameaça apareça no sistema na forma de processos legítimos, com os administradores, muitas vezes, percebendo o perigo somente quando é tarde demais.

O cuidado na instalação de recursos e a atenção a elementos furtivos funciona como medida de proteção, enquanto atualizações de sistema podem implementar defesas com as quais o Syslogk pode não ser capaz de lidar por enquanto. A Avast, em seu alerta, também exibe indicadores de comprometimento e amostras das pragas que podem ser usadas em tarefas de análise.

Fonte: Avast