Unos hackers vulneran los dispositivos F5 BIG-IP APM para instalar un rootkit de Linux

Cier­tas he­rra­mien­tas in­for­má­ti­cas han su­fri­do el ata­que de un "root­kit" para Linux que logra cap­tu­rar la carga de ar­chi­vos PHP e in­ser­ta un "web shell" di­rec­ta­men­te en la me­mo­ria, sin ne­ce­si­dad de al­ma­ce­nar có­di­gos da­ñi­nos en el disco duro. Este pro­gra­ma ma­li­cio­so fun­cio­na pro­ba­ble­men­te como una carga útil pos­te­rior a una vul­ne­ra­bi­li­dad crí­ti­ca de eje­cu­ción re­mo­ta de có­di­go, la cual fue re­cla­si­fi­ca­da por sus crea­do­res pre­via­men­te. Di­ver­sas fir­mas de ci­ber­se­gu­ri­dad han exa­mi­na­do este com­po­nen­te, se­ña­lan­do que al­te­ra con­fi­gu­ra­cio­nes del sis­te­ma ope­ra­ti­vo y logra man­te­ner­se ac­ti­vo in­clu­so a tra­vés de ac­tua­li­za­cio­nes del en­torno afec­ta­do.

El fun­cio­na­mien­to del soft­wa­re ma­li­cio­so in­vo­lu­cra la ocul­ta­ción de ca­de­nas me­dian­te ci­fra­do, la eje­cu­ción antes de la fun­ción prin­ci­pal del sis­te­ma y la mo­di­fi­ca­ción de ope­ra­cio­nes PHP para ca­mu­flar el "web shell" den­tro de scripts le­gí­ti­mos que usual­men­te no le­van­tan sos­pe­chas. De este modo, los ar­chi­vos al­ma­ce­na­dos en el disco no su­fren al­te­ra­cio­nes, lo que dis­mi­nu­ye las po­si­bi­li­da­des de ser de­tec­ta­dos. Asi­mis­mo, el ele­men­to in­tru­so pro­ce­sa pe­ti­cio­nes es­pe­cí­fi­cas me­dian­te fun­cio­nes in­ter­nas y res­pon­de de ma­ne­ra dis­fra­za­da, in­cor­po­ran­do ade­más un me­ca­nis­mo de re­tra­so al ini­ciar el ser­vi­cio para evi­tar fa­llos ope­ra­ti­vos o aler­tas tem­pra­nas.

Adi­cio­nal­men­te, el "root­kit" ge­ne­ra un canal de co­mu­ni­ca­ción local pro­te­gi­do me­dian­te con­tra­se­ña capaz de ac­ti­var una in­ter­faz in­ter­ac­ti­va de co­man­dos sin la ne­ce­si­dad de ha­bi­li­tar puer­tos de red ex­pues­tos, re­qui­rien­do que los ata­can­tes po­sean ac­ce­so pre­vio al equi­po para uti­li­zar­lo. Ante esta si­tua­ción, los es­pe­cia­lis­tas en se­gu­ri­dad han com­par­ti­do in­di­ca­do­res de com­por­ta­mien­to sos­pe­cho­so que los de­fen­so­res pue­den ras­trear, junto con re­co­men­da­cio­nes para re­vi­sar pe­ti­cio­nes y res­pues­tas HTTP inusua­les en los pun­tos fi­na­les se­lec­cio­na­dos por los agre­so­res.