Skidmap es un nuevo malware cryptomining (cryptominer) que utiliza los módulos del kernel cargables (LKMs) colarse en sistemas Linux. El malware es capaz de ocultar sus actividades maliciosas mediante la visualización de las estadísticas de tráfico de red falsa.
De acuerdo con investigadores de Trend Micro, que tropezó con Skidmap, el malware exhibe la creciente complejidad de las últimas amenazas criptomoneda-mineras. Lo que hace Skidmap destacan es la forma en que se carga LKMs maliciosos para ocultar sus operaciones mineras cripto. Los LKMs sobrescribir o modificar partes del núcleo, lo que hace que el malware difíciles de limpiar. Además de eso, Skidmap también utiliza varios mecanismos de infección y también es capaz de re-infectar ordenadores que han sido limpiados.
Skidmap criptomoneda Miner: Algunos detalles técnicos
En cuanto a la instalación, estos son los pasos que el malware sigue:
1. El software malicioso se instala a través de crontab (lista de comandos que se ejecutan en un horario regular) en los sistemas de destino;
2. El pm.sh script de instalación descarga el principal “PC” binaria (detectado por Trend Micro como Trojan.Linux.SKIDMAP.UWEJX).
Una vez que se ejecuta el binario, la configuración de seguridad del sistema disminuyen significativamente. Además, el malware Skidmap también asegura una manera de obtener acceso a la puerta trasera de la máquina dirigida por tener el binario añadir la clave pública de sus manipuladores en el fichero authorized_keys, el cual contiene las claves necesarias para la autenticación, Trend Micro reportado.
Skidmap también reemplaza el módulo pam_unix.so, que es responsable de la autenticación estándar de Unix, con una versión maliciosa que acepta una contraseña específica para cualquier usuario. De esta manera el malware permite a los agentes de amenaza que entrar como cualquier usuario en la máquina.
El binario también está diseñado para soltar la parte minera de acuerdo con la distribución actual en el sistema infectado - Debian Linux, CentOS,o Red Hat Enterprise Linux.
Además de la minera criptomoneda, Skidmap también gotas de los siguientes componentes:
- Un falso “rm” binaria - Uno de los componentes contenidos en el archivo tar es una falsificación binaria “rm” que sustituirá al original (RM se utiliza normalmente como comandos para borrar archivos). La rutina maliciosa de este archivo crea una tarea programada malicioso que descargar y ejecutar un archivo. no siempre se observa esta rutina, sin embargo, ya que sólo se lleva a cabo al azar.
- kaudited - Un archivo instalado como / usr / bin / kaudited. Este binario caerá e instalar varios módulos del kernel cargables (LKMs) en la máquina infectada. Para asegurarse de que la máquina infectada no se bloqueará debido a los rootkits en modo kernel, que utiliza diferentes módulos para versiones específicas del núcleo. El binario kaudited también se reduce un componente de vigilancia que controlará el archivo criptomoneda minera y el proceso de.
- iproute - Este módulo conecta la llamada al sistema, getdents (normalmente se utiliza para leer el contenido de un directorio) con el fin de ocultar archivos específicos.
- netlink - Este rootkit falsifica las estadísticas de tráfico de red (específicamente el tráfico que implica ciertas direcciones IP y puertos) y las estadísticas relacionadas con la CPU (esconde el “pamdicks” carga de proceso y CPU). Esto haría que la carga de la CPU de la máquina infectada siempre aparecerá baja. Esto es probable que hacer que parezca como si nada está mal para el usuario (como el uso intensivo de la CPU es una señal de alerta de malware criptomoneda-minera).
En conclusión, Skidmap es un malware criptomoneda bastante avanzada que contiene componentes para ayudar a que no se detectan. Su apariencia muestra que los mineros pueden no ser tan frecuente, pero todavía plantean grandes riesgos para los usuarios.
Milena Dimitrova
Un escritor inspirado y administrador de contenido que ha estado con SensorsTechForum desde que comenzó el proyecto.. Un profesional con 10+ años de experiencia en la creación de contenido atractivo. Centrado en la privacidad de los usuarios y el desarrollo de malware, ella cree firmemente en un mundo donde la seguridad cibernética juega un papel central. Si el sentido común no tiene sentido, ella estará allí para tomar notas. Esas notas pueden convertirse más tarde en artículos! Siga Milena @Milenyim
Sígueme: