Gli analisti di Intezer chiamano il nuovo malware per Linux Lightning Framework un vero “coltello svizzero” per via della sua architettura modulare, oltre alla possibilità di installare rootkit e backdoor.
“Il framework ha funzionalità sia passive che attive per comunicare con l’attaccante, inclusa l’apertura di SSH sulla macchina infetta, nonché una configurazione polimorfica e flessibile per C&C”
ha afferma lo specialista di Intezer Ryan Robinson.
 Avvio delle iscrizioni al corso Cyber Offensive Fundamentals Vuoi smettere di guardare tutorial e iniziare a capire davvero come funziona la sicurezza informatica? La base della sicurezza informatica, al di là di norme e tecnologie, ha sempre un unico obiettivo: fermare gli attacchi dei criminali informatici. Pertanto "Pensa come un attaccante, agisci come un difensore". Ti porteremo nel mondo dell'ethical hacking e del penetration test come nessuno ha mai fatto prima. Per informazioni potete accedere alla pagina del corso oppure contattarci tramite WhatsApp al numero 379 163 8765 oppure scrivendoci alla casella di posta [email protected].
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Sembra che il malware non sia stato ancora utilizzato in attacchi reali, ma i ricercatori sono riusciti a studiare alcuni dei suoi componenti e affermano che il resto “deve ancora essere trovato e analizzato”.
È noto che il Lightning Framework ha una struttura abbastanza semplice: il componente loader principale (kbioset), scarica e installa altri moduli malware e plugin sui dispositivi compromessi, compreso il modulo principale (kkdmflush).
Il compito del modulo principale è stabilire la comunicazione con il gestore e ricevere i comandi necessari per eseguire vari plugin, oltre a nascondere la presenza sulla macchina compromessa.
Ad esempio, il malware utilizza il typequatting per camuffarsi e si traveste da password Seahorse e gestore di chiavi.
Altri metodi di cloaking includono la modifica dei timestamp di artefatti dannosi utilizzando il timestemp e l’occultamento del PID e di tutte le porte di rete associate utilizzando uno dei numerosi rootkit che Lightning Framework è in grado di distribuire.
Il malware può prendere piede nel sistema creando uno script elastisearch in /etc/rc.d/init.d/, che verrà eseguito ad ogni avvio del sistema ed eseguirà nuovamente il modulo bootloader per reinfettare il dispositivo.
Inoltre, Lightning Framework aggiunge la propria backdoor basata su SSH al sistema infetto: avvia un server SSH utilizzando uno dei plugin scaricati (Linux.Plugin.Lightning.Sshd). Di conseguenza, ciò consentirà agli aggressori di connettersi alle macchine infette tramite SSH utilizzando le proprie chiavi SSH.
“Il Lightning Framework è un malware interessante perché è raro vedere una piattaforma così imponente costruita per Linux”, riassume Robinson. “Anche se non abbiamo tutti i file, possiamo dedurre alcune delle funzionalità mancanti in base alle righe e al codice dei moduli che abbiamo”.
Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.
Vulnerabilità
Innovazione
Cyberpolitica
Cultura
Vulnerabilità