Un lector anónimo citó un informe de Ars Technica: Un sitio de descarga entrega secretamente malware a usuarios de Linux Robar contraseñas y otra información confidencial durante tres años Hasta que finalmente se calmó, dijeron los investigadores el martes.Esta web, gestor de descargas gratuito[.]org ofrece una versión benigna de un producto de Linux llamado Free Download Manager. A partir de 2020, el mismo dominio redirige a veces a los usuarios al dominio deb.fdmpkg[.]org, que proporciona una versión maliciosa de la aplicación. La versión disponible en el dominio malicioso contiene un script que descarga dos archivos ejecutables en las rutas de archivo /var/tmp/crond y /var/tmp/bs. Luego, el script utiliza el programador de trabajos cron para hacer que el archivo en /var/tmp/crond se inicie cada 10 minutos. De esta manera, a un dispositivo que tenga instalada una versión trampa del administrador de descargas gratuito se le implantará permanentemente la puerta trasera.
Después de acceder a la dirección IP del dominio malicioso, la puerta trasera inicia un shell inverso, lo que permite al atacante controlar de forma remota el dispositivo infectado. Los investigadores de la empresa de seguridad Kaspersky, que descubrió el malware, abrieron la puerta trasera del equipo de laboratorio para observar su comportamiento. «El ladrón recopila datos como información del sistema, historial de navegación, contraseñas guardadas, archivos de billetera de criptomonedas y credenciales para servicios en la nube (AWS, Google Cloud, Oracle Cloud Infrastructure, Azure)», escribieron los investigadores en el artículo. un informe Martes. «Después de recopilar información de la máquina comprometida, el ladrón descarga el archivo binario del servidor C2 y lo guarda en /var/tmp/atd. Luego usa este binario para cargar los resultados de la ejecución del ladrón en las instalaciones base del atacante».
