14 de septiembre de 2016

DDoS (de inglés Distributed Denial of Service, un ataque distribuido que causa un rechazo de servicio) — es el modo más popular de atacar los recursos de red. Los malintencionados dirigen al servidor objetivo un flujo importante de solicitudes que el mismo no puede procesar, lo que provoca un rechazo del mismo. Con mucha frecuencia, para estos ataques se usan los programas nocivos especiales. Uno de ellos, llamado Linux.DDoS.93, fue investigado por los analistas de la empresa Doctor Web.

El troyano Linux.DDoS.93 fue inventado por los creadores de virus para infectar los dispositivos bajo la administración de los sistemas operativos de la familia Linux. Supuestamente, este programa nocivo se difunde usando un conjunto de vulnerabilidades ShellShock en el programa GNU Bash.

Al iniciarse, Linux.DDoS.93 intenta cambiar el contenido de algunas carpetas de sistema Linux, para asegurar su propio autoinicio. Luego el troyano busca en el equipo atacado otras copias de Linux.DDoS.93 y, en caso de encontrar las mismas, las finaliza.

Al iniciarse correctamente en el sistema infectado, Linux.DDoS.93 crea dos procesos subordinados. El primero intercambia la información con el servidor administrativo, y el segundo, en el ciclo ininterrumpido, comprueba si el proceso principal funciona y, si el mismo fue detenido, lo reinicia. A su vez, el proceso principal también supervisa el subordinado y lo reinicia en caso necesario— de esta forma, el troyano sigue funcionando de manera continua en el equipo infectado.

Linux.DDoS.93 puede ejecutar los comandos siguientes:

• Actualizar el programa nocivo;
• Descargar e iniciar el archivo indicado en el comando;
• autoeliminarse;
• iniciar un ataque usando el método UDP flood al puerto indicado;
• iniciar un ataque usando el método UDP flood al puerto aleatorio;
• iniciar un ataque usando el método Spoofed UDP flood;
• iniciar un ataque usando el método TCP flood;
• iniciar un ataque usando el método TCP flood (en los paquetes se guardan los datos aleatorios de 4096 bytes de longitud);
• iniciar un ataque usando el método HTTP flood usando las solicitudes GET;
• iniciar un ataque usando el método HTTP flood usando las solicitudes POST;
• iniciar un ataque usando el método HTTP flood usando las solicitudes HEAD;
• enivar las solicitudes HTTP con opciones indicadas a 255 direcciones IP aleatorias;
• finalizar la ejecución;
• enviar el comando “ping”.

Cuando el troyano recibe un comando para iniciar un ataque DDoS o enviar las solicitudes aleatorias, primero finaliza todos los procesos subordinados, y luego inicia 25 nuevos procesos que realizan el ataque usando el método indicado por los malintencionados. La firma de Linux.DDoS.93 fue añadida a las bases de virus Dr.Web, por lo tanto, el mismo no supone peligro para nuestros usuarios.

Más información sobre el troyano