«En los últimos seis meses, observamos un aumento del 254 % en la actividad de un troyano de Linux llamado XorDdos», escribe el equipo de investigación de Microsoft 365 Defender. Es un troyano que combina la funcionalidad de denegación de servicio con el cifrado basado en XOR para la comunicación.
Microsoft lo llama parte de «la tendencia de malware que se dirige cada vez más a los sistemas operativos basados en Linux, que comúnmente se implementan en infraestructuras en la nube y dispositivos de Internet de las cosas». Y ZDNet describe al troyano como «una de las familias de malware basadas en Linux más activas de 2021, según Crowdstrike».
XorDdos lleva a cabo ataques automáticos de adivinación de contraseñas en miles de servidores Linux para encontrar las credenciales de administrador coincidentes utilizadas en los servidores Secure Shell (SSH)… Una vez que se obtienen las credenciales, la red de bots utiliza privilegios de root para instalarse en un dispositivo Linux y utiliza sistemas basados en XOR. cifrado para comunicarse con la infraestructura de mando y control del atacante.
Si bien los ataques DDoS son una seria amenaza para la disponibilidad del sistema y crecen en tamaño cada año, a Microsoft le preocupan otras capacidades de estas redes de bots. «Descubrimos que los dispositivos infectados primero con XorDdos se infectaron más tarde con malware adicional, como la puerta trasera Tsunami, que implementa aún más el minero de monedas XMRig», señala Microsoft… Microsoft no vio a XorDdos instalando y distribuyendo directamente la puerta trasera Tsunami, pero sus investigadores creen que XorDdos se utiliza como vector para actividades maliciosas de seguimiento…
XorDdoS puede realizar múltiples técnicas de ataque DDoS, incluidos ataques de inundación SYN, ataques de DNS y ataques de inundación ACK.
El equipo de Microsoft advierte que las capacidades de evasión del troyano «incluyen ofuscar las actividades del malware, evadir los mecanismos de detección basados en reglas y la búsqueda de archivos maliciosos basada en hash, así como el uso de técnicas anti-forenses para romper el análisis basado en árboles de procesos.
«Observamos en campañas recientes que XorDdos oculta actividades maliciosas del análisis al sobrescribir archivos confidenciales con un byte nulo. También incluye varios mecanismos de persistencia para admitir diferentes distribuciones de Linux».
