Linux/Rakos: ataques a dispositivos y servidores mediante SSH (otra vez)

Aparentemente, cada vez son más los usuarios frustrados que se quejan en los foros porque sus dispositivos integrados se sobrecargan con tareas informáticas y de red. Lo que estas quejas en particular tienen en común es el nombre del proceso que causa el problema, uno que se ejecuta desde un directorio temporal y se hace pasar como parte del marco de Java, bajo el nombre ".javaxxx". También usa los nombres adicionales ".swap" o "kworker". Hoy veremos de dónde vienen estos reclamos.

Hace unas semanas, analizamos los incidentes recientes de Mirai y los problemas de seguridad provocados por esta botnet en nuestro artículo "Un ejército de zombis: Cuando los dispositivos IoT están fuera de control". Todo lo que escribimos en ese momento aún sigue vigente.

Vector de ataque

El ataque se realiza a través de intentos de inicio de sesión remoto vía SSH por fuerza bruta, y opera de manera similar a los gusanos para Linux, incluyendo Linux/Moose (que para propagarse atacó los inicios de sesión de Telnet y sigue activo), y al que ESET ha estado investigando desde el año pasado. Entre los objetivos de ataque se encuentran los dispositivos y servidores integrados que tienen un puerto SSH abierto y cuya contraseña es muy débil.

El propósito evidente de este troyano es recopilar una lista de dispositivos desprotegidos y construir una botnet de dispositivos zombis que sea de interés para los atacantes. De esta forma, les suministra una lista selecta y no demasiado extensa de objetivos: únicamente se infectarán las máquinas que representen oportunidades fáciles desde la perspectiva de seguridad.

Cabe notar que las víctimas informaron casos en los que tenían una contraseña segura, pero restauraron la configuración del dispositivo a los valores de fábrica con la contraseña predeterminada, olvidando que su dispositivo estaba online. Un par de horas de exposición online es suficiente para que una máquina restaurada a la configuración de fábrica resulte infectada.

Análisis

El malware está escrito en Go y normalmente aparece comprimido con la herramienta UPX original. Lo extraño es que los desarrolladores quitaron los nombres de las funciones en el archivo binario, pero igualmente siguen estando presentes en una sección especial.

Con la ayuda de un script creado por RedNaga Security, que vuelve a asignar los símbolos correspondientes a sus funciones en el software desensamblador IDA Pro, se simplificó todo el análisis y solo hubo que revisar las funcionalidades que sugerían los nombres de las funciones, tales como main_loadConfig, main_startLocalHttp, main_Skaro_Upgrade, main_IPTarget_checkSSH, etc. El archivo binario incluye cadenas de caracteres como "Skaro" y "dalek". Los autores posiblemente tenían en mente el planeta ficticio de la serie televisiva de ciencia ficción Doctor Who, donde se originaron los Daleks.

Como primer paso, Linux/Rakos carga su configuración a través de una entrada estándar (stdin) en formato YAML. El archivo de configuración contiene información como listas de C&C, todas las credenciales que se prueban contra sus objetivos y los parámetros internos:

La configuración completa de Linux/Rakos en texto sin formato está disponible en el repositorio de ESET en Github.

En segundo lugar, el malware inicia un servicio HTTP local disponible en http://127.0.0.1:61314. Hay dos razones por las que se instala: la primera es como un método ingenioso para que las versiones futuras del bot cierren las instancias en ejecución (independientemente del nombre que estas tengan) mediante una solicitud http://127.0.0.1:61314/et; la segunda es porque intenta analizar los parámetros "ip", "u" y "p" en una consulta URL mediante una solicitud http://127.0.0.1:61314/ex. El propósito del recurso /ex de HTTP aún no está claro en el momento en que se escribe este informe, y no parece que haya referencias a él en ninguna otra parte del código.

El bot también crea un servidor web que escucha en todas las interfaces. En las primeras versiones, escuchaba en el puerto TCP 13666, pero ahora el puerto se selecciona aleatoriamente dentro del rango 20000 a 60000. Al enviar una solicitud remota al dispositivo a través de este puerto, se muestra un mensaje como este en el navegador:

Allí, la dirección IP corresponde al lado del cliente. La salida está en el mismo formato que el servidor de prueba público http://httpbin.org con la solicitud /ip. En el lado que ejecuta Linux/Rakos, se puede llegar a ver la siguiente línea de registro en stdout:

A continuación, envía una solicitud HTTP inicial que contiene información importante de la víctima a https://{cnc_server}/ping. Los datos enviados pueden ser los siguientes (algunos campos han sido alterados artificialmente):

La funcionalidad principal de este bot es explorar el servicio SSH en diversas direcciones IP, que se obtienen del servidor de C&C al solicitar la lista ubicada en https://{cnc_server}/scan. Al parecer, esta lista se modifica con frecuencia. Las versiones anteriores del troyano también analizaban el servicio SMTP, pero los atacantes han silenciado esta funcionalidad (posiblemente la estén desarrollando para mejorarla).

El ataque principal se lleva a cabo de la siguiente manera: si la conexión con el objetivo se logra correctamente, se ejecutan dos comandos de manera remota (id, uname -m). Se hacen otras comprobaciones y se informan sus resultados. Finalmente, el binario verifica si puede cargarse al dispositivo de la nueva víctima y lo hace si la respuesta es afirmativa.

Para nuestro análisis, seleccionamos dos objetivos (127.0.0.1 y 127.0.0.100) y simulamos un ataque (originalmente, los atacantes lo intentan con 200 objetivos simultáneos cada 10 segundos). En caso de que el bot no logre conectarse al primer objetivo, lo etiquetará con la palabra "FORGET" (olvidar). Si a continuación se conecta correctamente al segundo objetivo, lo marcará con la palabra "INSTALL" (instalar) y se establece una conexión SSH con los datos de inicio de sesión correctos shipping:shipping; también es importante notar que el archivo ejecutable cargado se elimina de inmediato tras su ejecución.

Además, el backdoor es capaz de:

• actualizar el archivo de configuración (desde https://{cnc_server}/upgrade/vars.yaml)
• mejorarse a sí mismo.

No se implementa ninguna actividad maliciosa evidente de las que podríamos esperar, como ataques de DDoS o propagación de spam (al menos hasta este momento). No obstante, el hecho de que se envíen la dirección IP, el nombre de usuario y la contraseña significa que los atacantes podrán hacer lo que quieran con la máquina más tarde. Creemos que es poco probable que solo se trate de un experimento invasivo pero inocente, o de un ejercicio o una investigación académica que salió mal.

Hay varios informes online sobre las infecciones. Por ejemplo, se puede encontrar uno del 23 de agosto de 2016 en Pastebin. La siguiente tabla contiene el resultado al ejecutar "lsof –n" en el proceso culpable. Hay que recordar que los rangos de direcciones IP probados por SSH parecen aleatorios:

Mitigación y desinfección

El troyano no es capaz de mantener su persistencia tras reiniciar el sistema. Por lo tanto, los dispositivos disponibles se pueden infectar reiteradamente.

Los pasos necesarios para desinfectar son los siguientes:

• Conéctate a tu dispositivo mediante SSH/Telnet,
• Busca un proceso llamado .javaxxx,
• Ejecuta comandos como netstat o lsof con el conmutador -n para confirmar que es el responsable de establecer las conexiones no deseadas,
• (Acción voluntaria) recopila evidencia forense volcando el espacio de memoria del proceso correspondiente (por ejemplo, con gcore). También es posible recuperar la muestra borrada desde /proc con cp /proc/{pid}/exe {output_file}
• Finaliza el proceso con el parámetro -KILL.

Naturalmente, es imprescindible que las víctimas protejan sus credenciales SSH y deben recordar volver a hacerlo después de cada restablecimiento a los valores de fábrica.

También preparamos un complemento para Volatility Framework llamado vf_ioc_linux_rakos_a.py que detecta los indicadores de sistemas comprometidos si se cuenta con un volcado de memoria completo que admita este marco. Además, este complemento extrae datos del proceso malicioso como la configuración o la información enviada al servidor de C&C. Está disponible también en GitHub.

Conclusión

En esta ocasión presentamos otro ejemplo de un backdoor para Linux que se propaga a través de un canal bastante conocido. Parece que a los atacantes les conviene escribir nuevas muestras de software malicioso para aprovechar las vulnerabilidades actuales de la seguridad de la red.

Nuestro consejo es el siguiente: no construyas muros de paja o ramas para resguardar tus dispositivos; mejor usa ladrillos y piedras. Internet es un lugar bastante ventoso...

Un agradecimiento especial a Marc-Étienne Léveillé.

Indicadores de sistemas comprometidos

Muestras

Como el malware se elimina tras haberse ejecutado con éxito, no disponemos de muchas muestras recopiladas.

Servidores de C&C

217.12.208.28
217.12.203.31
193.169.245.68
46.8.44.55
195.123.210.100
5.34.183.231
5.34.180.64
185.82.216.125
185.14.30.78
185.14.29.65
185.20.184.117