Las universidades y las organizaciones gubernamentales en Am\u00e9rica del Norte y Asia han sido atacadas por un malware Linux previamente indocumentado llamado Auto-Color entre noviembre y diciembre de 2024, seg\u00fan nuevos hallazgos de la Unidad 42 de Palo Alto Networks.<\/p>\n
“Una vez instalado, el color autom\u00e1tico permite a los actores de amenaza el acceso remoto completo a las m\u00e1quinas comprometidas, lo que hace que sea muy dif\u00edcil de eliminar sin software especializado”, el investigador de seguridad Alex Armstrong dicho<\/a> En una redacci\u00f3n t\u00e9cnica del malware.<\/p>\n Auto-Color se llama as\u00ed seg\u00fan el nombre del archivo, la carga \u00fatil inicial se renombra en s\u00ed misma la instalaci\u00f3n. Actualmente no se sabe c\u00f3mo alcanza sus objetivos, pero lo que se sabe es que requiere que la v\u00edctima la ejecute expl\u00edcitamente en su m\u00e1quina Linux.<\/p>\n Un aspecto notable del malware es el arsenal de los trucos que emplea para evadir la detecci\u00f3n. Esto incluye el uso de nombres de archivos aparentemente inocuos como puerta o huevo, ocultar conexiones de comando y control (C2) y aprovechar los algoritmos de cifrado patentados para enmascarar la informaci\u00f3n de comunicaci\u00f3n e configuraci\u00f3n.<\/p>\n Una vez lanzado con privilegios ra\u00edz, procede a instalar un implante de biblioteca malicioso llamado “libcext.so.2,” copia y se renombra a\/var\/log\/cross\/auto-coloror, y realiza modificaciones a “\/etc\/ld.preload” para establecer la persistencia en el host.<\/p>\n “Si el usuario actual carece de privilegios ra\u00edz, el malware no continuar\u00e1 con la instalaci\u00f3n del implante de biblioteca evasiva en el sistema”, dijo Armstrong. “Proceder\u00e1 a hacer lo m\u00e1s posible en sus fases posteriores sin esta biblioteca”.<\/p>\n El implante de la biblioteca est\u00e1 equipado con las funciones pasivamente de gancho utilizadas en libc<\/a> para interceptar el Abrir () llamada del sistema<\/a>que utiliza para ocultar las comunicaciones C2 modificando “\/proc\/net\/tcp”, un archivo que contiene informaci\u00f3n sobre todas las conexiones de red activas. Una t\u00e9cnica similar fue adoptada por otro malware Linux llamado Symbiote.<\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/02\/El-nuevo-malware-Linux-Auto-Color-otorga-a-los-piratas-informaticos.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n