Servidores web Linux y BSD en riesgo de infección sofisticada de Mumblehard
Los investigadores han revelado una familia de malware de Linux que permaneció bajo el radar durante más de cinco años. El malware, que ESET ha denominado Linux / Mumblehard, está dirigido a servidores que ejecutan sistemas Linux y BSD.
El objetivo principal de este malware es enviar mensajes de spam protegiéndose detrás de la reputación de las direcciones IP legítimas de las máquinas infectadas. “Pudimos identificar el sistema victimizado y comenzamos el proceso de notificar a sus propietarios”, dijo el investigador principal de seguridad de ESET, Marc-Etienne M. Léveillé. «Ahora que los detalles técnicos sobre la amenaza son públicos, será más fácil para las víctimas entender a qué se enfrentan y limpiar sus servidores».
ESET identificó más de 8500 direcciones IP únicas afectadas por Mumblehard durante el período de investigación de 7 meses. ESET dice que el malware se compone de dos componentes diferentes. Aprovechando las vulnerabilidades en Joomla y WordPress, el primer componente es una puerta trasera genérica que solicita comandos de su servidor de Comando y Control. El segundo componente es un demonio de spam con todas las funciones que se inicia a través de un comando recibido por la puerta trasera.
Mumblehard también se distribuye a través de copias «pirateadas» de un programa Linux y BSD conocido como DirectMailer, software que se vende en el sitio web Yellsoft por 240 dólares. “Nuestra investigación mostró fuertes vínculos con una empresa de software llamada Yellsoft”, explicó Léveillé. “El primer vínculo entre ellos es que las direcciones IP utilizadas como servidores C&C para los componentes de puerta trasera y spam se encuentran en el mismo rango que el alojamiento del servidor web yellsoft.net. El segundo enlace es que hemos encontrado copias pirateadas de DirectMailer en línea que en realidad instalan silenciosamente la puerta trasera de Mumblehard cuando se ejecutan. Las copias pirateadas también fueron ofuscadas por el mismo empaquetador utilizado por los componentes maliciosos de Mumblehard «. explicó Léveillé.
ESET aconseja a las víctimas que ‘busquen entradas cronjob no solicitadas para todos los usuarios en sus servidores’. El documento técnico completo se puede descargar aquí.