es en ca es es pt es es es eo es es en es id en en es pt es es es eo es es en es es es es es es es es es es es es es es es es es es es es es gl es es es es es es es es es es fr es en en en es en en en
Los investigadores de ciberseguridad están haciendo sonar la alarma sobre una nueva cepa de ransomware llamada «oscuroradiación«eso se implementa completamente en Bash y se dirige a los contenedores en la nube de Linux y Docker, mientras se confía en el servicio de mensajería Telegram para las comunicaciones de comando y control (C2).
Al momento de escribir, no hay información disponible sobre los métodos de entrega o evidencia de que el ransomware se haya implementado en ataques del mundo real.
La cadena de infección de DarkRadiation implica un proceso de ataque de varias etapas y se destaca por su gran dependencia de los scripts de Bash para recuperar el malware y cifrar los archivos, así como la API de Telegram para comunicarse con el servidor C2 a través de claves de API codificadas.
Tras la ejecución, DarkRadiation comprueba si se ejecuta como usuario raíz y, de ser así, utiliza los permisos elevados para descargar e instalar las bibliotecas Wget, cURL y OpenSSL, y toma una instantánea periódica de los usuarios que actualmente están conectados a un sistema informático Unix. usando el comando «quién» cada cinco segundos, cuyos resultados luego se filtran a un servidor controlado por el atacante usando la API de Telegram.
«Si alguno de estos [libraries] no están disponibles en el dispositivo infectado, el malware intenta descargar las herramientas requeridas usando YUM (Yellowdog Updater, Modified), un administrador de paquetes basado en python ampliamente adoptado por distribuciones de Linux populares como RedHat y CentOS «, explicaron los investigadores de SentinelOne en un paralelo. artículo de DarkRadiation publicado el lunes.
El ransomware, en su fase final de la infección, recupera una lista de todos los usuarios disponibles en el sistema comprometido, sobrescribe las contraseñas de usuario existentes con «megapassword» y elimina todos los usuarios de shell, pero no antes de crear un nuevo usuario con el nombre de usuario «ferrum «y la contraseña» MegPw0rD3 «para continuar con el proceso de encriptación.
Funcionalidad de propagación similar a un gusano
Curiosamente, el análisis de SentinelOne revela diferentes variaciones en las que la contraseña del usuario «ferrum» se descarga del servidor C2 del atacante en algunas versiones, mientras que en otras está codificada con cadenas como «$ MeGaPass123 #», lo que implica que el malware está experimentando cambios rápidos antes del despliegue real.
«Debe tenerse en cuenta que el ransomware agrega símbolos radiactivos (‘.☢’) como una extensión de archivo para un archivo encriptado», dijo el investigador de amenazas de Trend Micro, Aliakbar Zahravi.
Una segunda parte móvil asociada con el ataque es un gusano SSH que está diseñado para recibir una configuración de credenciales en forma de un parámetro codificado en base64. Posteriormente, este argumento codificado se utiliza para conectarse al sistema de destino mediante el protocolo SSH y, finalmente, descargar y ejecutar el ransomware.
Además de informar el estado de ejecución, junto con la clave de cifrado, al canal de Telegram del adversario a través de la API, DarkRadiation también viene con capacidades para detener y deshabilitar todos los contenedores Docker en ejecución en la máquina infectada, después de lo cual se muestra una nota de rescate para el usuario.
«El malware escrito en lenguajes de script de shell permite a los atacantes ser más versátiles y evitar algunos métodos de detección comunes», dijeron los investigadores de SentinelOne.
«Como no es necesario volver a compilar los scripts, se pueden iterar más rápidamente. Además, dado que algunos programas de seguridad se basan en firmas de archivos estáticos, estos pueden evadirse fácilmente mediante una iteración rápida y el uso de herramientas simples de ofuscación para generar scripts completamente diferentes. archivos».
La policía investiga un ‘incidente cibernético’ en el grupo médico de Guernsey
El ransomware GandCrab y el virus Ursnif se propagan a través de macros de MS Word
Investigadores lanzan herramienta que encuentra robots vulnerables en Internet
Nuevo exploit amenaza a más de 9000 enrutadores Cisco RV320 / RV325 hackeables en todo el mundo
El nuevo error de FaceTime permite que las personas que llaman lo escuchen y lo vean sin que usted responda
La policía cerró xDedic: un mercado en línea para los ciberdelincuentes
Deja una respuesta Cancelar la respuesta
Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *
Guarda mi nombre, correo electrónico y web en este navegador para la próxima vez que comente.
Copyright © 2022, cursohacker.es | Aviso legal
Suscríbete a nuestra lista si te interesa recibir turcos exclusivos sobre hacking y seguridad informática