Pesquisadores localizam versão do malware Winnti para Linux por acaso
Por Felipe Ribeiro | 22 de Maio de 2019 às 18h04
Pesquisadores da empresa de segurança cibernética Chronicle, pertencente à Alphabet, finalmente descobriram uma versão do malware Winnti para Linux enquanto investigavam um ciberataque recente contra a gigante farmacêutica alemã Bayer. De acordo com os profissionais, o código contido na variante para o sistema operacional aberto lembra a versão Winnti 2.0 do Windows, que tem sido usada por cibercriminosos chineses na última década para lançar ataques a sistemas em todo o mundo, sobretudo de desenvolvedores de games.
De acordo com a Chronicle, a versão para Linux do Winnti foi projetada para funcionar como uma backdoor em hosts infectados, o que dá aos hackers a capacidade de acessar o sistema comprometido. Os pesquisadores descobriram a existência da versão Linux ao tentar procurar amostras do malware na plataforma VirusTotal.
Depois de analisar a variante do Linux, a Chronicle descobriu que ela datava de 2015 e continha um trojan de backdoor (libxselinux) e uma biblioteca (libselinux.so) usados para ocultar o malware da detecção. Especialistas acreditam que vários grupos de Ameaça Persistente Avançada (sigla APT - Advanced Persistent Threat, em inglês) operam sob o guarda-chuva do Winnti, incluindo Winnti, Wicked Panda, ShadowPad, Deputadog, APT17, PassCV e outros.
Todos esses grupos usaram estratégias e técnicas semelhantes no passado e até compartilharam partes da mesma infraestrutura de hackers.
“Assim como outras versões do Winnti, o componente principal do malware não fornece aos operadores funcionalidade distinta. Esse componente é projetado principalmente para lidar com comunicações e a implantação de módulos diretamente dos servidores de comando e controle. Durante nossa análise, não foi possível recuperar nenhum plug-in ativo. No entanto, relatórios anteriores sugerem que os operadores geralmente implantam plug-ins para execução de comandos remotos, exfiltração de arquivos e proxy5 no host infectado. Esperamos que funcionalidades semelhantes sejam aproveitadas por meio de módulos adicionais para o Linux", disseram os pesquisadores, em um post no blog do Chromium.