Microsoft advierte sobre «malware DDoS sigiloso» dirigido a dispositivos Linux

«Durante los últimos seis meses, hemos visto un aumento del 254 % en la actividad de un troyano de Linux llamado XorDdos», escribe el equipo de investigación de Microsoft 365 Defender. Es un troyano que combina la funcionalidad de denegación de servicio con el cifrado de comunicaciones basado en XOR. Microsoft lo describe como parte de «la tendencia del malware a apuntar cada vez más a los sistemas operativos basados ​​en Linux, que comúnmente se implementan en la infraestructura de la nube y los dispositivos de Internet de las cosas». Y ZDNet describe al troyano «como una de las familias de malware basadas en Linux más activas de 2021, según Crowdstrike». XorDdos realiza ataques automáticos de adivinación de contraseñas en miles de servidores Linux para encontrar las credenciales de administrador coincidentes utilizadas en los servidores Secure Shell (SSH)… Una vez que se obtienen las credenciales, la botnet usa privilegios de root para instalarse en un dispositivo Linux y usa XOR- cifrado basado en para comunicarse con la infraestructura de comando y control del atacante. Si bien los ataques DDoS son una amenaza grave para la disponibilidad del sistema y su alcance crece cada año, a Microsoft le preocupan otras capacidades de estas redes de bots. «Descubrimos que los dispositivos que primero se infectaron con XorDdos luego se infectaron con malware adicional, como la puerta trasera Tsunami, que implementa aún más el minero de monedas XMRig», señala Microsoft… Microsoft no vio que XorDdos infectó las instalaciones de la puerta trasera Tsunami y distribuye directamente, pero sus investigadores creen que XorDdos se usa como vector para actividades de seguimiento maliciosas… XorDdoS puede realizar múltiples técnicas de ataque DDoS, incluidos ataques de inundación SYN, ataques de DNS y ataques de inundación ACK. El equipo de Microsoft advierte que las capacidades de evasión del troyano «incluyen ofuscar las actividades del malware, eludir los mecanismos de detección basados ​​en reglas y las búsquedas de archivos maliciosos basadas en hash, y usar técnicas anti-forenses para atravesar el proceso de análisis basado en árboles». Campaigns XorDdos oculta la actividad maliciosa del análisis al sobrescribir los archivos confidenciales con un byte nulo. También incluye diferentes mecanismos de persistencia para admitir diferentes distribuciones de Linux».