A pesar de la continua caída del valor de las criptomonedas, siguen siendo un objetivo prioritario para los desarrolladores de malware. La empresa rusa de antivirus Dr.Web ha descubierto recientemente un sofisticado minador para la criptomoneda Monero (XMR) que afecta a los sistemas Linux.

Pese a que el malware diseñado para sistemas Linux aún no está muy extendido, cada vez se está volviendo más complejo y multifuncional. El malware Linux.BtcMine.174, comentado en este artículo, es una prueba de ello.

El fabricante ruso de antivirus Dr.Web ha identificado a este malware con un nombre genérico de Linux.BtcMine.174. No obstante, este troyano no tiene nada de genérico. Está diseñado para realizar una serie de acciones bien planificadas para garantizar al atacante que cumple con su fin último: minar la criptomoneda Monero.

Se trata de un script de shell de más de mil líneas de código, que en primer lugar, trata de ser el primer archivo en ejecutarse al arrancar el sistema Linux. A continuación, busca una carpeta en la que pueda copiarse para trabajar desde ella autorreplicándose y descargándose otros módulos adicionales que amplíen sus funcionalidades.

El siguiente paso que realiza este troyano es la explotación de las vulnerabilidades CVE-2016-5195 y CVE-2013-2094, para lograr una elevación de privilegios y conseguir los permisos de root con los que hacerse con el control del sistema operativo. De este modo logra configurarse como un demon local, llegando a descargarse la utilidad nohup en caso de necesitarla.

Llegados a este punto, el Linux.BtcMine.174 ya ha logrado hacerse con el control del equipo infectado. A continuación, procede con la ejecución de su función principal: la minería de criptomonedas. Para optimizar la explotación del huésped comienza escaneando el sistema para eliminar todo malware rival que pudiera estar ya operando, y luego descarga e inicia su propia infraestructura de minería de Monero.

Al mismo tiempo descarga y ejecuta en paralelo otro malware, llamado Trojan.Linux.BillGates, un troyano capaz de realizar ataques DDoS entre otras funciones típicas de la familia Backdoor. Y para evitar su detección por parte del usuario, también busca procesos asociados con soluciones antivirus basadas en Linux, deteniéndolos al igual que hiciera previamente con el malware rival. Hasta ahora, los investigadores de Dr.Web han identificado como procesos antivirus susceptibles de ser interrumpidos por este malware: safedog, aegis, yunsuo, clamd, avast, avgd, cmdmgd, drweb-configd, drweb-spider-kmod, esets y xmirrord.

La siguiente fase del ataque consiste en descargarse y ejecutar un rootkit, y agregarse como una entrada de ejecución automática a archivos como /etc/cron.hourly, /etc/rc.local, /etc/rc.d/,… Todo ello para robar las contraseñas ingresadas por el usuario con el comando su y ocultar sus archivos dentro del sistema de archivos, conexiones de red y procesos en ejecución. Además, el malware recopilará información sobre los servidores remotos a los que el huésped se haya conectado a través de SSH con el objeto de intentar acceder a los mismos para continuar con su propagación.

Gracias a esta estrategia de robo de credenciales SSH válidas, el Linux.BtcMine.174 es capaz de autopropagarse por esta vía a la vez que dificulta la tarea de los administradores de sistema Linux para proteger adecuadamente las conexiones SSH, puesto que basta con que el malware infecte un hostautorizado para saltarse dicha protección.