Los investigadores de ciberseguridad han descubierto un nuevo y sigiloso malware para Linux que aprovecha una t\u00e9cnica poco convencional para lograr persistencia en sistemas infectados y ocultar el c\u00f3digo de clonaci\u00f3n de tarjetas de cr\u00e9dito.<\/p>\n
El malware, atribuido a un actor de amenazas con motivaciones econ\u00f3micas, tiene el nombre en c\u00f3digo sedexp<\/strong> por el equipo de servicios de respuesta a incidentes Stroz Friedberg de Aon.<\/p>\n “Esta amenaza avanzada, activa desde 2022, se oculta a simple vista mientras proporciona a los atacantes capacidades de shell inverso y t\u00e1cticas de ocultaci\u00f3n avanzadas”, afirman los investigadores Zachary Reichert, Daniel Stein y Joshua Pivirotto. dicho<\/a>.<\/p>\n No es sorprendente que los actores maliciosos est\u00e9n constantemente improvisando y perfeccionando sus habilidades y hayan recurrido a t\u00e9cnicas novedosas para evadir la detecci\u00f3n.<\/p>\n Lo que hace que sedexp sea destacable es el uso de reglas udev para mantener la persistencia. Udev, reemplazo del sistema de archivos de dispositivos, ofertas<\/a> un mecanismo para identificar dispositivos seg\u00fan sus propiedades y configurar reglas para responder cuando hay un cambio en el estado del dispositivo, es decir, cuando se conecta o se quita un dispositivo.<\/p>\n Cada l\u00ednea en el archivo de reglas de udev tiene al menos un par clave-valor, lo que hace posible hacer coincidir dispositivos por nombre y activar ciertas acciones cuando se detectan varios eventos del dispositivo (por ejemplo, activar una copia de seguridad autom\u00e1tica cuando se conecta una unidad externa).<\/p>\n “Una regla coincidente puede especificar el nombre del nodo del dispositivo, agregar enlaces simb\u00f3licos que apunten al nodo o ejecutar un programa espec\u00edfico como parte del manejo de eventos”, SUSE Linux notas<\/a> en su documentaci\u00f3n. “Si no se encuentra ninguna regla coincidente, se utiliza el nombre de nodo de dispositivo predeterminado para crear el nodo de dispositivo”.<\/p>\n La regla udev para sedexp — ACTION==”add”, ENV{MAJOR}==”1″, ENV{MINOR}==”8″, RUN+=”asedexpb run:+” — est\u00e1 configurada de tal manera que el malware se ejecuta siempre que \/dev\/random (corresponde a Dispositivo menor n\u00famero 8<\/a>) se carga, lo que normalmente ocurre en cada reinicio.<\/p>\n Dicho de otra manera, el programa especificado en el par\u00e1metro RUN se ejecuta cada vez que se reinicia el sistema.<\/p>\n El malware viene con capacidades para lanzar un shell inverso para facilitar el acceso remoto al host comprometido, as\u00ed como modificar la memoria para ocultar cualquier archivo que contenga la cadena “sedexp” de comandos como ls o find.<\/p>\n Stroz Friedberg dijo que en los casos investigados, la capacidad se ha utilizado para ocultar shells web, archivos de configuraci\u00f3n de Apache alterados y la propia regla udev.<\/p>\n “El malware se utiliz\u00f3 para ocultar un c\u00f3digo de extracci\u00f3n de datos de tarjetas de cr\u00e9dito en un servidor web, lo que indica que se centraba en obtener beneficios econ\u00f3micos”, afirmaron los investigadores. “El descubrimiento de sedexp demuestra la creciente sofisticaci\u00f3n de los actores de amenazas con motivaciones econ\u00f3micas m\u00e1s all\u00e1 del ransomware”.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/08\/El-nuevo-malware-de-Linux-sedexp-oculta-escaneres-de-tarjetas.png\")
<\/a><\/center><\/div>\n<\/a><\/center><\/section>\n