Se ha revelado la existencia de un malware denominado Perfctl, que ha infectado a miles de máquinas que ejecutan Linux. Este malware se destaca por su capacidad para mantenerse oculto, realizar múltiples actividades maliciosas y aprovechar configuraciones erróneas en los sistemas.
Características del malware Perfctl
Perfctl ha estado circulando desde 2021. Se instala mediante más de 20.000 errores de configuración comunes. El malware es capaz de explotar la vulnerabilidad crítica CVE-2023-33246, corregida el año pasado.
Utiliza nombres de procesos y archivos similares a los legítimos de Linux para pasar desapercibido. Instala componentes como rootkits, dificultando su detección por el sistema operativo. Detiene actividades que podrían revelar su presencia, como ciertas acciones al iniciar sesión.
Usa un socket Unix sobre TOR para comunicarse de forma anónima. Elimina su archivo de instalación original para evitar ser detectado. Interfiere con el proceso pcap_loop de Linux para ocultar su tráfico malicioso. Suprime mensajes de error para evitar alertas visibles.
Riesgos asociados a Perfctl
Perfctl se ha demostrado como una amenaza compleja y persistente, permaneciendo en la máquina infectada incluso después de reinicios o intentos de eliminación. Modifica archivos de configuración del sistema, como ~/.profile, para asegurarse de que se ejecute cada vez que un usuario inicie sesión.
Se estima que miles de servidores Linux están infectados con este malware. El número de sistemas susceptibles es aún mayor debido a la falta de parches o configuraciones incorrectas. El malware convierte la máquina en un servidor proxy para generar ingresos mediante el tráfico de otros usuarios y sirve como punto de entrada para instalar otros tipos de malware.
Modo de operación del ataque
El ataque comienza explotando una vulnerabilidad o configuración débil en el sistema objetivo. Una vez que obtiene acceso, descarga la carga útil principal desde un servidor comprometido. Esta carga se copia a sí misma en el directorio /tmp con un nombre diferente para disimular su verdadera identidad.
Luego intenta obtener permisos de root explotando la vulnerabilidad CVE-2021-4043, lo que le permite controlar el sistema de forma completa. Un aumento inusual en el uso de la CPU o un rendimiento lento del sistema pueden ser indicadores de una posible infección.
Medidas de mitigación
Para prevenir la propagación de Perfctl, se recomienda instalar el parche para CVE-2023-33246. También es importante corregir las configuraciones incorrectas identificadas.