Se ha reportado un ataque contra los sistemas Linux de empresas surcoreanas que involucra el uso del rootkit Reptile, disponible públicamente en GitHub.
Características de los rootkits
Los rootkits son un tipo de software malicioso que ha existido desde hace unos 20 años. Suelen incluir funciones como keyloggers, módulos para robar información bancaria, bots de ataques DDoS y herramientas para desactivar el software de seguridad.
Tipos de rootkits
Existen dos tipos principales de rootkits: user-mode y kernel-mode. Reptile es un rootkit de tipo kernel-mode que afecta a sistemas Linux.
Funcionalidades del rootkit Reptile
Reptile ofrece una shell inverso, permitiendo al atacante establecer una comunicación con el dispositivo infectado para ejecutar comandos remotos. Se puede utilizar el método «Port Knocking» para activar la shell inversa.
Historial de uso del rootkit Reptile
Trend Micro registró el primer uso del rootkit en mayo de 2022, relacionado con un grupo de atacantes llamado Earth Berberoka (también conocido como GamblingPuppet). En marzo de 2023, Mandiant detalló una serie de ataques realizados por atacantes vinculados a China, llamados UNC3886. Estos emplearon exploits de día cero en dispositivos Fortinet para desplegar varios rootkits, incluido Reptile.
Riesgos asociados al uso del rootkit
El uso del rootkit Reptile representa una amenaza significativa para los sistemas Linux, especialmente en entornos empresariales. Su disponibilidad pública y su capacidad de evadir medidas de seguridad lo convierten en una herramienta peligrosa para atacantes.