Investigadores de ciberseguridad han descubierto una nueva puerta trasera basada en PHP llamada Glot\u00f3n<\/strong> que se ha utilizado en ataques cibern\u00e9ticos dirigidos a China, Estados Unidos, Camboya, Pakist\u00e1n y Sud\u00e1frica.<\/p>\n QiAnXin XLab, que descubri\u00f3 la actividad maliciosa a finales de abril de 2024, atribuy\u00f3 el malware previamente desconocido con moderada confianza al prol\u00edfico grupo de estado-naci\u00f3n chino rastreado Winnti (tambi\u00e9n conocido como APT41).<\/p>\n “Curiosamente, nuestra investigaci\u00f3n revel\u00f3 que los creadores de Glutton apuntaron deliberadamente a sistemas dentro del mercado del cibercrimen”, dijo la empresa. dicho<\/a>. “Con las operaciones de envenenamiento, pretend\u00edan volver en su contra las herramientas de los ciberdelincuentes: un escenario cl\u00e1sico de ‘no hay honor entre los ladrones'”.<\/p>\n Glutton est\u00e1 dise\u00f1ado para recopilar informaci\u00f3n confidencial del sistema, eliminar un componente de puerta trasera ELF y realizar inyecci\u00f3n de c\u00f3digo en marcos PHP populares como Baota (BT), ThinkPHP, Yii y Laravel. El malware ELF tambi\u00e9n comparte una “similitud casi completa” con una conocida herramienta Winnti conocida como PWNLNX.<\/p>\n A pesar de los v\u00ednculos con Winnti, XLab dijo que no puede vincular definitivamente la puerta trasera con el adversario debido a la falta de t\u00e9cnicas de sigilo t\u00edpicamente asociadas con el grupo. La empresa de ciberseguridad describi\u00f3 las deficiencias como “inusualmente deficientes”.<\/p>\n Esto incluye la falta de comunicaciones cifradas de comando y control (C2), el uso de HTTP (en lugar de HTTPS) para descargar las cargas \u00fatiles y el hecho de que las muestras est\u00e1n libres de cualquier ofuscaci\u00f3n.<\/p>\n En esencia, Glutton es un marco de malware modular capaz de infectar archivos PHP en dispositivos de destino, as\u00ed como instalar puertas traseras. Se cree que el acceso inicial se logra mediante la explotaci\u00f3n de fallas de d\u00eda cero y d\u00eda N y ataques de fuerza bruta.<\/p>\n Otro enfoque poco convencional implica anunciar en foros de ciberdelincuencia hosts empresariales comprometidos que contienen l0ader_shell, una puerta trasera inyectada en archivos PHP, que permite a los operadores organizar ataques contra otros ciberdelincuentes.<\/p>\n El m\u00f3dulo principal que permite el ataque es “task_loader”, que se utiliza para evaluar el entorno de ejecuci\u00f3n y recuperar componentes adicionales, incluido “init_task”, que es responsable de descargar una puerta trasera basada en ELF que se hace pasar por el Administrador de procesos FastCGI<\/a> (“\/lib\/php-fpm”), infectando archivos PHP con c\u00f3digo malicioso para una mayor ejecuci\u00f3n de la carga \u00fatil, y recopilando informaci\u00f3n confidencial y modificando archivos del sistema.<\/p>\n La cadena de ataque tambi\u00e9n incluye un m\u00f3dulo llamado “client_loader”, una versi\u00f3n refactorizada de “init_task”, que utiliza una infraestructura de red actualizada e incorpora la capacidad de descargar y ejecutar un cliente con puerta trasera. Modifica archivos del sistema como “\/etc\/init.d\/network” para establecer la persistencia.<\/p>\n La puerta trasera PHP es una puerta trasera con todas las funciones que admite 22 comandos \u00fanicos que le permiten cambiar conexiones C2 entre TCP y UDP, iniciar un shell, descargar\/cargar archivos, realizar operaciones de archivos y directorios y ejecutar c\u00f3digo PHP arbitrario. Adem\u00e1s, el marco hace posible buscar y ejecutar m\u00e1s cargas \u00fatiles de PHP sondeando peri\u00f3dicamente el servidor C2.<\/p>\n “Estas cargas \u00fatiles son altamente modulares, capaces de funcionar de forma independiente o ejecutarse secuencialmente a trav\u00e9s de task_loader para formar un marco de ataque integral”, dijo XLab. “Toda la ejecuci\u00f3n del c\u00f3digo se produce dentro de procesos PHP o PHP-FPM (FastCGI), lo que garantiza que no se dejen atr\u00e1s cargas \u00fatiles de archivos, logrando as\u00ed una huella sigilosa”.<\/p>\n Otro aspecto notable es el uso de la herramienta HackBrowserData en sistemas utilizados por operadores de delitos cibern\u00e9ticos para robar informaci\u00f3n confidencial con el objetivo probable de informar futuras campa\u00f1as de phishing o ingenier\u00eda social.<\/p>\n “Adem\u00e1s de atacar a las tradicionales v\u00edctimas de ‘sombrero blanco’ a trav\u00e9s del delito cibern\u00e9tico, Glutton demuestra un enfoque estrat\u00e9gico en la explotaci\u00f3n de los recursos de los operadores de ciberdelito”, dijo XLab. “Esto crea una cadena de ataques recursivos, aprovechando las propias actividades de los atacantes contra ellos”.<\/p>\n La divulgaci\u00f3n se produce semanas despu\u00e9s de que XLab detallara una versi\u00f3n actualizada del malware APT41 llamado M\u00e9lof\u00e9e que agrega mecanismos de persistencia mejorados e “incorpora un controlador de kernel cifrado RC4 para enmascarar rastros de archivos, procesos y conexiones de red”.<\/p>\n Una vez instalada, la puerta trasera de Linux est\u00e1 equipada para comunicarse con un servidor C2 para recibir y ejecutar varios comandos, incluida la recopilaci\u00f3n de informaci\u00f3n de dispositivos y procesos, el inicio del shell, la gesti\u00f3n de procesos, la realizaci\u00f3n de operaciones de archivos y directorios y la desinstalaci\u00f3n.<\/p>\n “M\u00e9lof\u00e9e ofrece una funcionalidad sencilla con capacidades de sigilo altamente efectivas”, dicho<\/a>. “Las muestras de esta familia de malware son raras, lo que sugiere que los atacantes pueden limitar su uso a objetivos de alto valor”.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/12\/El-nuevo-malware-Glutton-explota-marcos-PHP-populares-como-Laravel.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n