22 de enero de 2016

Los expertos de la empresa Doctor Web analizaron un troyano multifuncional capaz de infectar los dispositivos que funcionan bajo la administración del SO Linux. Este backdoor tiene una amplia gama de posibilidades, entre las cuales hay funciones de descargar en el dispositivo infectado varios archivos, realizar operaciones con objetos de archivos, creación de copias de pantalla, supervisión de pulsaciones de teclas y muchas más.

Este programa nocivo añadido a las bases de virus Dr.Web bajo el nombre Linux.BackDoor.Xunpes.1, consiste en dropper y el backdoor mismo que realiza las funciones espía básicas en el dispositivo infectado.

El dropper fue creado usando el entorno abierto de desarrollo Lazarus para el compilador Free Pascal y al iniciarse muestra el siguiente cuadro de diálogo donde se mencionan los dispositivos destinados para realizar operaciones con criptomoneda Bitcoin:

En el cuerpo de este dropper sin cifrar se almacena otro componente del troyano — un backdoor que al iniciarse el dropper se guarda en la carpeta /tmp/.ltmp/. Es el que realiza las funciones básicas nocivas en el dispositivo infectado.

El backdoor creado en el lenguaje С, al iniciarse, descifra el archivo de configuración usando la clave “hardwarded” en su cuerpo. Entre las opciones de la configuración de este componente del programa nocivo hay un listado de servidores administrativos y servidores proxy usados durante la conexión, así como otros datos necesarios para el funcionamiento del programa. Luego el troyano se conecta al servidor administrativo y espera los comandos de los malintencionados.

En total, Linux.BackDoor.Xunpes.1 es capaz de ejecutar más de 40 comandos, entre los cuales hay una directiva de activación de la función de guardar las pulsaciones de teclas por el usuario (keylogging), descarga e inicio del archivo, la ruta y los argumentos del cual llegan del servidor remoto (así mismo, este backdoor finaliza), transmisión de los nombres de archivos en el directorio establecido a los malintencionados, subida de los archivos seleccionados al servidor administrativo, creación, eliminación, cambio de nombre de archivos y carpetas, creación de copias de pantalla (screenshots), realización de comandos bash, y muchos otros.

La firma del troyano Linux.BackDoor.Xunpes.1 fue añadida a las bases de virus Dr.Web, y por lo tanto los usuarios del Antivirus Dr.Web para Linux están protegidos con seguridad contra esta amenaza.

Más información sobre el programa nocivo