Se ha observado que el actor de amenazas persistentes avanzadas (APT) alineado con China conocido como Gelsemium utiliza un nuevo backdoor de Linux apodado WolfsBane como parte de ciberataques probablemente dirigidos a Asia Oriental y Sudoriental.
Esto es según los hallazgos de la empresa de ciberseguridad ESET basados en múltiples muestras de Linux subidas a la plataforma VirusTotal desde Taiwán, Filipinas y Singapur en marzo de 2023.
Se ha determinado que WolfsBane es una versión para Linux del backdoor Gelsevirine del actor de la amenaza, un malware para Windows que ya se utilizó en 2014. La empresa también ha descubierto otro implante no documentado anteriormente llamado FireWood que está conectado a otro conjunto de herramientas de malware conocido como Project Wood.
FireWood ha sido atribuido a Gelsemium con poca confianza, dada la posibilidad de que pueda ser compartido por múltiples equipos de hacking vinculados a China.
"El objetivo de las puertas traseras y herramientas descubiertas es el ciberespionaje dirigido a datos sensibles como información del sistema, credenciales de usuario y archivos y directorios específicos", afirma Viktor ?perka, investigador de ESET, en un informe compartido con The Hacker News.
"Estas herramientas están diseñadas para mantener un acceso persistente y ejecutar comandos de forma sigilosa, lo que permite la recopilación prolongada de inteligencia mientras se evade la detección".
La ruta de acceso inicial exacta utilizada por los actores de la amenaza no se conoce, aunque se sospecha que los actores de la amenaza explotaron una vulnerabilidad desconocida de la aplicación web para soltar web shells para el acceso remoto persistente, utilizándolo para entregar el backdoor WolfsBane por medio de un dropper.
Además de utilizar el rootkit de usuario de código abierto BEURK modificado para ocultar sus actividades en el host Linux, es capaz de ejecutar comandos recibidos desde un servidor controlado por el atacante. En una línea similar, FireWood emplea un módulo rootkit controlador del kernel llamado usbdev.ko para ocultar procesos y ejecutar varios comandos emitidos por el servidor.
El uso de WolfsBane y FireWood es el primer uso documentado de malware para Linux por parte de Gelsemium, lo que indica una ampliación de su objetivo.
"La tendencia del malware hacia los sistemas Linux parece ir en aumento en el ecosistema de las APT", afirma ?perka. "Desde nuestro punto de vista, esta evolución puede atribuirse a varios avances en la seguridad del correo electrónico y de los endpoints".
"La adopción cada vez mayor de soluciones EDR, junto con la estrategia por defecto de Microsoft de desactivar las macros VBA, están conduciendo a un escenario en el que los adversarios se están viendo obligados a buscar otras vías potenciales de ataque."
Fuente: thehackernews