El Malware TrickBot se hizo notar en 2019 cuando comenzó a realizar actividades ilegales, como el robo de credenciales, el robo de información personal, la infiltración de dominios Windows y también actuar como Dropper.
Hasta ahora, TrickBot era conocido como un malware de Windows multipropósito con varios módulos que afectaban a dicho sistema operativo. Uno de estos módulos es una subdivisión de Anchor denominado para Trickbot como “Anchor_DNS” y ha sido detectado que se está utilizando para infectar dispositivos Linux. Anchor_DNS generalmente apunta a sistemas de alto valor para robar información financiera valiosa.
Un investigador de seguridad llamado Waylon Grange, de Stage 2 Security denomino ‘Anchor_Linux’ ha esta nueva versión de “Anchor_DNS”. Con esta evolución, la versión de Linux del malware puede apuntar a varios dispositivos IoT, incluidos enrutadores, dispositivos VPN y dispositivos NAS. Corriendo en Linux.
(adsbygoogle = window.adsbygoogle || []).push({});
lo analizado por Vitali Kremez de Advanced Intel, Anchor_Linux usa la siguiente
entrada para ejecutarse cada minuto una vez instalado:
*/1 * * * * root [filename]
[1/3]
We detected a new Linux #Trickbot sample:https://t.co/cLOuBQZHII
“anchor_linux” – anchor_dns on Linux.
Lightweight backdoor with ability to spread to neighboring Windows boxes using svcctl via SMB.— Intezer (@IntezerLabs) July 29, 2020
Curiosamente, con Anchor_Linux, los actacantes pueden apuntar a entornos que no son de Windows y pivotar a dispositivos Windows en la misma red.
El malware actúa
como una herramienta de persistencia encubierta de puerta trasera en el entorno
UNIX que se utiliza como un pivote para la explotación de Windows, así como
también como un vector de ataque inicial poco ortodoxo fuera del phishing por
correo electrónico. Permite que el grupo apunte e infecte servidores en un
entorno UNIX (como enrutadores) y lo use para pivotar a redes corporativas.
Anchor_Linux?
Linux pueden verificar si han sido víctimas de Anchor_linux buscando el archivo
“/tmp/Anchor.log”. Si existe dicho archivo, se recomienda que los
usuarios de Linux escaneen el sistema en busca de malware notorio.
todavía está en las etapas iniciales, y continuará evolucionando, lo que lo
hace más dañino para los sistemas.
