AhnLab Security Emergency Response Center (ASEC) reportó recientemente una campaña que implica la instalación del botnet Tsunami en servidores Linux SSH administrados inadecuadamente. El actor de amenazas no solo instala Tsunami, sino también otros programas maliciosos como ShellBot, XMRig CoinMiner y Log Cleaner.
Características de los ataques
Los intrusos generan un nuevo par de claves SSH públicas y privadas para mantener el acceso al servidor incluso si se cambia la contraseña del usuario. El malware descargado en hosts comprometidos incluye botnets DDoS, limpiadores de registros, mineros de criptomonedas y herramientas de escalamiento de privilegios.
Funcionalidades del malware
ShellBot es un bot DDoS basado en Perl que utiliza el protocolo IRC para la comunicación. Admite escaneo de puertos, UDP, TCP y ataques de inundación HTTP, así como configurar un shell inverso. Tsunami, otro botnet DDoS visto en estos ataques, también utiliza el protocolo IRC.
La versión particular vista por ASEC es «Ziggy», una variante de Kaiten. Tsunami persiste entre reinicios al escribirse en /etc/rc.local y usa nombres de procesos de sistema típicos para ocultarse.
Código fuente del malware
El código fuente de Tsunami está disponible públicamente, lo que lo hace utilizado por múltiples actores de amenazas. Se utiliza principalmente en ataques contra dispositivos IoT y también se usa para apuntar a servidores Linux. La inclusión de malware dentro de contenedores Docker distribuidos no oficialmente es uno de sus principales vectores de ataque.
Ataques de diccionario
Si se utilizan credenciales de cuenta simples en un sistema Linux, un actor de amenazas puede iniciar sesión mediante fuerza bruta o ataques de diccionario, lo que le permite ejecutar comandos maliciosos.
Flujo del ataque
Después de iniciar sesión con éxito, el actor de amenazas ejecuta un comando para descargar y ejecutar varios programas maliciosos. Entre los archivos descargados se encuentra key, que es un script Bash que instala otros malware adicionales.
Análisis del malware Tsunami
Tsunami, también conocido como Kaiten, es utilizado por varios actores de amenazas debido a que su código fuente está disponible públicamente. Los actores de amenazas modifican el código existente para agregar más funciones. El Tsunami utilizado en este ataque es una variante llamada Ziggy.
Además de los ataques DDoS SYN, ACK, UDP y de inundación aleatoria, Tsunami admite un amplio conjunto de comandos de control remoto, incluida la ejecución de comandos de shell, shells inversos, recopilación de información del sistema, actualización y descarga de cargas útiles adicionales desde una fuente externa.
Log Cleaner
MIG Logcleaner v2.0 y Shadow Log Cleaner son herramientas utilizadas para borrar la evidencia de intrusión en computadoras comprometidas, lo que hace que sea menos probable que las víctimas se den cuenta de la infección rápidamente.
Escalamiento de privilegios
El malware de escalamiento de privilegios utilizado es un archivo ELF (formato ejecutable de Linux) que eleva los privilegios del atacante a los de un usuario root. Finalmente, los actores de amenazas activan un minero de monedas XMRig para secuestrar los recursos computacionales del servidor para extraer Monero en un grupo específico.
Para defenderse de estos ataques, los usuarios de Linux deben usar contraseñas seguras o requerir claves SSH para iniciar sesión. Además, se debe deshabilitar el inicio de sesión root a través de SSH, limitar el rango de direcciones IP permitidas y cambiar el puerto SSH predeterminado a algo atípico.