Se ha identificado una nueva variante del troyano de acceso remoto Bifrost que emplea un dominio engañoso para eludir medidas de seguridad. Esta versión específica se dirige principalmente a sistemas Linux y utiliza el dominio download.vmfare[.]com, que imita al legítimo dominio de VMware.
Características técnicas del malware
Bifrost es un troyano de acceso remoto (RAT) identificado en 2004. La nueva variante para Linux se ha detectado recientemente y muestra una técnica innovadora para evadir la detección.
Los atacantes distribuyen Bifrost a través de correos electrónicos o sitios web maliciosos. Una vez instalado, el malware permite al atacante acceder a información sensible del sistema afectado.
Técnicas de evasión y comunicación
La última variante utiliza un dominio engañoso que simula al legítimo dominio de VMware. Esta práctica se conoce como tiposquatting.
Según informes, se han detectado más de 100 instancias de Bifrost en los últimos meses. Esta cifra refleja un aumento significativo en la actividad relacionada con este malware.
Cifrado y ubicación del servidor
El malware utiliza el cifrado RC4 para proteger datos recopilados de las víctimas. Se comunica con un servidor DNS ubicado en Taiwán, lo que sugiere una estrategia de operación internacional.
Variante específica para dispositivos ARM
Además, se ha identificado una versión específica de Bifrost para dispositivos ARM alojada en una IP maliciosa. Esta variante busca ampliar la superficie de ataque hacia dispositivos con arquitectura ARM.