Se ha descubierto una nueva amenaza multiplataforma denominada NKAbuse que utiliza como canal de comunicación un protocolo descentralizado de conectividad de red entre pares conocido como NKN (abreviatura de New Kind of Network).
"El malware utiliza la tecnología NKN para el intercambio de datos entre pares, funciona como un potente implante y está equipado con capacidades tanto de flooder como de backdoor", afirmó la empresa rusa de ciberseguridad Kaspersky en un informe publicado el jueves.
NKN, que cuenta con más de 62.000 nodos, se describe como una "red superpuesta de software construida sobre la Internet actual que permite a los usuarios compartir el ancho de banda no utilizado y ganar recompensas en tokens". Incorpora una capa blockchain sobre la pila TCP/IP existente.
Mientras que los actores de amenazas son conocidos por aprovechar los protocolos de comunicación emergentes para fines de comando y control (C2) y evadir la detección, NKAbuse aprovecha la tecnología blockchain para llevar a cabo ataques distribuidos de denegación de servicio (DDoS) y funcionar como un implante dentro de los sistemas comprometidos.
En concreto, utiliza el protocolo para comunicarse con el bot maestro y recibir/enviar órdenes. El malware está implementado en el lenguaje de programación Go, y las pruebas apuntan a que se utiliza principalmente para atacar sistemas Linux, incluidos dispositivos IoT.
Por el momento se desconoce el alcance de los ataques, pero uno de los casos identificados por Kaspersky implica la explotación de un fallo de seguridad crítico de seis años de antigüedad en Apache Struts (CVE-2017-5638, puntuación CVSS: 10,0) para vulnerar una empresa financiera no identificada.
Una explotación exitosa es seguida por la entrega de un script de shell inicial que se encarga de descargar el implante desde un servidor remoto, no sin antes comprobar el sistema operativo del host objetivo. El servidor que aloja el malware alberga ocho versiones diferentes de NKAbuse para soportar diversas arquitecturas de CPU: i386, arm64, arm, amd64, mips, mipsel, mips64 y mips64el.
Otro aspecto destacable es la ausencia de un mecanismo de autopropagación, lo que significa que el malware debe llegar al objetivo a través de otra vía de acceso inicial, como la explotación de fallos de seguridad.
"NKAbuse utiliza cron jobs para sobrevivir a los reinicios", afirma Kaspersky. "Para lograrlo, necesita ser root. Comprueba si el ID de usuario actual es 0 y, si es así, procede a analizar el crontab actual, añadiéndose a sí mismo en cada reinicio".
NKAbuse también incorpora una serie de funciones de puerta trasera que le permiten enviar periódicamente un mensaje de heartbeat al bot maestro, que contiene información sobre el sistema, capturar imágenes de la pantalla actual, realizar operaciones con archivos y ejecutar comandos del sistema.
"Este implante en particular parece haber sido meticulosamente elaborado para su integración en una botnet, aunque puede adaptarse para funcionar como puerta trasera en un host específico", dijo Kaspersky. "Además, su uso de la tecnología blockchain garantiza tanto la fiabilidad como el anonimato, lo que indica el potencial de esta botnet para expandirse de forma constante en el tiempo, aparentemente desprovista de un controlador central identificable."
"Nos sorprende ver que NKN se utiliza de tal manera", dijo Zheng "Bruce" Li, cofundador de NKN, a The Hacker News. "Construimos NKN para proporcionar una verdadera comunicación de igual a igual que sea segura, privada, descentralizada y masivamente escalable. Estamos intentando aprender más sobre el informe para ver si juntos podemos hacer que Internet sea segura y neutral."
Fuente: thehackernews