Investigadores han identificado una nueva forma de ataque que utiliza correos electrónicos de phishing para instalar una puerta trasera denominada VShell. La cadena de infección comienza con un mensaje spam que incluye un archivo RAR malicioso.
El mecanismo de la amenaza
Según el informe técnico de Trellix, el ataque se basa en una carga útil codificada directamente en el nombre del archivo. El código está escrito en Bash y utiliza la inyección de comandos shell para activar la ejecución del malware.
El atacante aprovecha un patrón común en scripts de shell, donde los nombres de archivos se evalúan con una limpieza inadecuada. Esto permite que comandos como eval o echo faciliten la ejecución de código arbitrario.
La técnica también permite eludir las defensas tradicionales, ya que los motores antivirus no suelen analizar los nombres de archivo. El ataque se inicia cuando un script o comando del shell intenta analizar el nombre del archivo.
Estructura del archivo malicioso
El punto de partida es un correo electrónico que contiene un archivo RAR con un nombre especial: "ziliao2.pdf`{echo,|{base64,-d}|bash`". Este nombre incorpora código compatible con Bash, diseñado para ejecutar comandos al ser interpretado por el shell.
La simple extracción del archivo no activa la ejecución. Solo ocurre cuando un script o comando del shell intenta analizar el nombre del archivo. Además, no es posible crear manualmente un nombre de archivo con esta sintaxis, lo que sugiere que se creó mediante una herramienta externa.
Proceso de infección
La técnica permite la ejecución de un descargador codificado en Base64, que recupera de un servidor externo un binario ELF para la arquitectura del sistema adecuada. El binario inicia la comunicación con un servidor C2 para obtener la carga útil cifrada de VShell y ejecutarla en el host.
VShell es una herramienta de acceso remoto basada en Go que ha sido utilizada por grupos chinos, incluyendo UNC5174. Esta herramienta admite shell inverso, operaciones con archivos, gestión de procesos, reenvío de puertos y comunicaciones C2 cifradas.
El ataque es peligroso porque el malware opera completamente en memoria, evitando la detección en disco. Además, puede afectar a una amplia gama de dispositivos Linux.
Estrategia de phishing
Los correos electrónicos se disfrazan como invitaciones a encuestas sobre productos de belleza, que ofrecen recompensas monetarias. El archivo adjunto RAR no indica explícitamente al usuario que lo abra o extraiga. La ingeniería social es sutil: el usuario se distrae con el contenido de la encuesta, y la presencia del archivo podría confundirse con un documento relacionado.
Conexión con otras amenazas
Este desarrollo coincide con una publicación por parte de Picus Security sobre RingReaper, una herramienta post-exploit centrada en Linux que aprovecha el framework io_uring del kernel para eludir las herramientas de monitorización tradicionales.
RingReaper utiliza io_uring para enumerar procesos, sesiones activas de pseudoterminal (PTS), conexiones de red y usuarios conectados. También es capaz de recopilar información del usuario del archivo /etc/passwd, abusar de los binarios SUID para la escalada de privilegios y borrar rastros tras su ejecución.
El uso de io_uring permite a RingReaper minimizar la dependencia de las llamadas al sistema convencionales que las herramientas de seguridad monitorizan o interceptan con frecuencia.