Los delincuentes informáticos están utilizando un nuevo malware de Linux llamado «Hadooken» para infectar servidores Oracle WebLogic. Este malware incluye un criptominero y una herramienta para ataques distribuidos de denegación de servicio (DDoS).
Oracle WebLogic Server: Un objetivo común
Oracle WebLogic Server es un servidor de aplicaciones Java EE de nivel empresarial que se utiliza para crear, implementar y gestionar aplicaciones distribuidas a gran escala. Se emplea en sectores como servicios bancarios y financieros, comercio electrónico, telecomunicaciones, organizaciones gubernamentales y servicios públicos.
Ataque observado en honeypot
Los investigadores de Aqua Security observaron un ataque similar en un honeypot. El actor de amenazas accedió al sistema debido a credenciales débiles.
Motivación y ventajas del objetivo
Los atacantes apuntan a WebLogic por su popularidad en entornos críticos para los negocios, que generalmente disponen de recursos de procesamiento ricos. Esto lo hace ideal para la criptominería y ataques DDoS. El acceso obtenido también puede usarse para ejecutar ataques de ransomware en sistemas Windows.
Vulnerabilidades comunes
WebLogic es un objetivo frecuente debido a vulnerabilidades como fallas de deserialización y controles de acceso inadecuados. Las configuraciones incorrectas, como credenciales débiles o consolas de administración expuestas, pueden provocar ejecución remota de código (RCE), escalada de privilegios y filtraciones de datos si no se parchean o protegen adecuadamente.
Proceso de infección
Una vez que los atacantes violan un entorno y obtienen privilegios suficientes, descargan un script de Shell llamado «c» y un script de Python llamado «y». Los dos scripts eliminan Hadooken, pero el código shell también intenta buscar datos SSH en varios directorios y utiliza la información para atacar servidores conocidos. Además, «c» se mueve lateralmente en la red para distribuir Hadooken.
Funcionalidades de Hadooken
Hadooken coloca y ejecuta un criptominero y el malware Tsunami, luego configura múltiples trabajos cron con nombres aleatorios y frecuencias de ejecución de cargas útiles.
Tsunami: Malware DDoS
Tsunami es un malware botnet DDoS de Linux que infecta servidores SSH vulnerables mediante ataques de fuerza bruta contra contraseñas débiles. Los atacantes han utilizado anteriormente Tsunami para lanzar ataques DDoS y control remoto en servidores comprometidos, mientras que se lo ha visto nuevamente implementado junto con los mineros de Monero.
Rebautizaciones y ocultación
Los investigadores destacan la práctica de Hadooken de rebautizar los servicios maliciosos como «-bash» o «-java», para imitar procesos legítimos y combinarlos con las operaciones normales. Una vez que se completa este proceso, los registros del sistema se borran para ocultar los signos de actividad maliciosa.
Posibles extensiones
El análisis estático del binario Hadooken descubrió enlaces a las familias de ransomware RHOMBUS y NoEscape, aunque no se implementaron módulos de ransomware en los ataques observados. Los investigadores plantean la hipótesis de que el acceso al servidor puede utilizarse para implementar ransomware en determinadas condiciones.
Conexión con Windows
Además, en uno de los servidores que entregaban Hadooken (89.185.85[.]102), los investigadores descubrieron un script de PowerShell que descargaba el ransomware Mallox para Windows.
Distribución de WebLogic
Según los hallazgos de los investigadores que utilizaron el motor de búsqueda Shodan, hay más de 236.000 servidores Weblogic en la web pública.