Dentro Linux, gli hacker si nascondevano da mesi! E’ la backdoor che ruba le email senza farsi notare

La backdoor RFRx003, scoperta dagli esperti di Solar 4RAYS, è stata utilizzata in un attacco mirato contro un'organizzazione russa. Il malware Linux permette agli hacker di restare nascosti per mesi, rubare email aziendali, simulare servizi legittimi e cancellare la cronologia dei comandi per ostacolare le indagini.

Gli esperti di «Solar» hanno scoperto una nuova backdoor RFRx003 per Linux, già utilizzato contro un’organizzazione russa. I malintenzionati si sono nascosti per diversi mesi nell’infrastruttura aziendale, rubando dati dalle email dei dipendenti e mascherando l’attività dannosa come normale funzionamento del sistema.

Il software dannoso è stato rilevato dagli esperti del centro di ricerca sulle minacce informatiche Solar 4RAYS durante l’indagine su un attacco mirato. Il nome dell’organizzazione colpita non è stato reso pubblico. Secondo i dati degli investigatori, gli hacker sono riusciti a stabilirsi nella rete interna e hanno mantenuto l’accesso alle risorse aziendali per un lungo periodo. L’obiettivo principale confermato dei malintenzionati è stata la corrispondenza elettronica dei dipendenti. Non è noto quante email siano state rubate e quali informazioni siano state compromesse.

Per la presenza nascosta, RFRx003 utilizza diversi metodi di mascheramento. In uno degli scenari rilevati, il componente dannoso si spacciava per un servizio di sincronizzazione del tempo di Linux. Tali servizi funzionano in background e di solito non destano sospetti negli amministratori. Di conseguenza, il processo estraneo poteva sembrare una parte normale del sistema operativo, anche se in realtà forniva agli hacker un accesso nascosto al server infetto.

I malintenzionati hanno applicato un’ulteriore difesa del malware durante le richieste di rete. Quando il software dannoso doveva caricare i dati, RFRx003 simulava richieste per ottenere l’avatar dell’utente. Tale attività esternamente ricordava una normale richiesta di un’applicazione a un’immagine del profilo. Questo espediente rende difficile rilevare il traffico sospetto, soprattutto se i mezzi di protezione si basano principalmente sugli indirizzi di connessione e su singoli indicatori delle richieste di rete.

RFRx003 disattiva il salvataggio della cronologia dei comandi inseriti nel shell di Linux. Di solito, la cronologia aiuta gli amministratori e gli esperti di sicurezza informatica a ricostruire le azioni degli utenti, inclusi l’avvio di programmi, la modifica delle impostazioni e il lavoro con i file. Disattivando la registrazione dei comandi, i malintenzionati riducono il numero di tracce che possono essere utilizzate per stabilire la sequenza delle azioni dopo la penetrazione.

Gli analisti di Solar 4RAYS non hanno riscontrato corrispondenze tra gli strumenti dell’attacco studiato e i set di software dannosi precedentemente descritti pubblicamente. Vladimir Dukhanin, esperto del gruppo di indagine sugli incidenti, considera RFRx003 un backdoor unico, sviluppato appositamente per una presenza prolungata e non rilevata nelle reti altrui. Secondo la valutazione dell’esperto, la combinazione di strumenti proprietari e dei metodi utilizzati rappresenta una minaccia significativa per le organizzazioni.

La potenziale area di applicazione di RFRx003 non è limitata a una specifica azienda o settore. Potrebbero essere a rischio le organizzazioni che utilizzano server con Linux e distribuzioni basate su di esso, se i malintenzionati riuscissero a penetrare nell’infrastruttura e a eseguire il codice dannoso. Al tempo stesso, il rilevamento di RFRx003 non implica la presenza di vulnerabilità in tutti i sistemi Linux. Gli investigatori non hanno ancora rivelato il metodo iniziale di penetrazione, non hanno indicato le versioni dell’OS coinvolte e non hanno segnalato una diffusione su larga scala del malware.

L’uso di backdoor specializzate contro i server Linux è già stato riscontrato in altre campagne di cyber-spionaggio. Ad esempio, in precedenza gli investigatori hanno scoperto ClingSTUN, che nascondeva lo scambio di comandi tra il traffico di rete normale e si stabiliva nel sistema per un successivo accesso remoto. La somiglianza di singoli metodi di mascheramento non prova un collegamento tra gli sviluppatori delle due programmi. Nel caso di RFRx003, gli investigatori non hanno ancora reso pubblico chi sta dietro l’attacco e se sono state condotte operazioni simili contro altre organizzazioni.

Luigi Zullo

Ricercatore di sicurezza informatica con esperienza nell’analisi delle vulnerabilità, nella mitigazione del rischio cyber, nelle attività di red teaming ed ethical hacking e nella protezione di sistemi complessi. Specializzato in penetration testing e Threat Intelligence, contribuisce al rafforzamento della resilienza digitale di infrastrutture e reti aziendali.

Aree di competenza: Penetration Testing, Threat Intelligence, Red Teaming, Vulnerability Assessment, Incident Response