24 de enero de 2017

Aún a finales del año pasado los analistas de virus de la empresa Doctor Web detectaron el crecimiento del número de programas nocivos para el SO Linux. Y ya en enero detectaron varios miles de dispositivos Linux infectados por el nuevo troyano.

El troyano usando el cual los malintencionados infectaron muchos dispositivos que funcionaban en la red bajo la administración de Linux, fue llamado Linux.Proxy.10. Como podemos ver por su nombre, este programa nocivo sirve para iniciar en el dispositivo infectado SOCKS5 el servidor proxy basado en los códigos fuente de la utilidad Satanic Socks Server difundidos públicamente. Los malintencionados usan este troyano para asegurar su propio anonimato en Internet.

Para difundir Linux.Proxy.10 los ciberdelincuentes se autorizan en los nodos vulnerables por protocolo SSH, así mismo el listado de nodos, así como el login y la contraseña de los mismos se guardan en el servidor. El listado tiene aspecto siguiente: «dirección IP:login:password». Cabe destacar que los usuarios con estos datos de cuenta normalmente crean en el sistema otros troyanos en Linux. Dicho de otro modo, Linux.Proxy.10 penetra en los equipos y dispositivos que tienen configuración estándar, o ya infectados por programas nocivos para Linux.

Usando este listado, se genera un script que se ejecuta en dispositivos infectados con la utilidad sshpass. Infecta el sistema atacado con el troyano Linux.Proxy.10.

Además, en el servidor de los malintencionados que difundían Linux.Proxy.10, además de los listados de nodos vulnerables, los analistas de Doctor Web detectaron un panel de control Spy-Agent y una compilación del programa nocivo para Windows que tiene que ver con la familia conocida de troyanos espía BackDoor.TeamViewer.

Para conectarse al servidor proxy iniciado con Linux.Proxy.10, los malintencionados deben conocer solo la dirección IP del dispositivo infectado y el número del puerto que se guarda en el cuerpo del troyano al compilar el mismo. Los expertos de la empresa Doctor Web han podido calcular el número de nodos infectados por Linux.Proxy.10: a fecha de 24 enero de 2017, es de varios miles.

Para proteger los dispositivos de las acciones del troyano Linux.Proxy.10, en caso de sospechas de infección, se recomienda realizar su escaneo remoto por protocolo SSH con el Antivirus Dr.Web 11.0 para Linux.

Más información sobre el troyano