ESET, la mayor empresa de ciberseguridad de la Unión Europea, ha descubierto Kobalos, un malware que ha estado atacando clústeres de ordenadores de alto rendimiento, los conocidos como ‘supercomputadores’.
ESET ha trabajado con el equipo de seguridad informática del CERN y otras organizaciones especializadas en mitigar los ataques contra estas redes de investigación científica. Entre los objetivos de Kobalos se encuentran un importante ISP asiático, un proveedor de seguridad norteamericano y varios servidores privados.
Los investigadores de ESET han diseccionado con técnicas de ingeniería inversa este malware, el cual aunque es pequeño contaba con una estructura muy compleja que puede ser portada a diferentes sistemas operativos, como Linux, BSD, Solaris y, probablemente, AIX y Windows.
“Hemos llamado a esta amenaza Kobalos recordando a los kobalos griegos, pequeñas criaturas traviesas aficionadas a engañar a los mortales”, explica Marc-Etienne Léveillé, investigador de ESET. “En este malware hemos observado un nivel de sofisticación muy poco común en los malware dirigidos a Linux”.
Kobalos es un backdoor que contiene comandos que evitan revelar la intención de los atacantes. “Kobalos simplemente consigue acceso remoto al sistema de archivos, otorga la posibilidad de iniciar sesiones en varias terminales y permite conexiones mediante proxy con otros servidores infectados por el propio Kobalos”, añade Léveillé.
Cualquier servidor comprometido por Kobalos puede convertirse en un servidor de mando y control mediante el envío de un simple comando. Como la dirección IP y los puertos usados por el servidor de mando y control están codificados dentro del archivo ejecutable, los operadores pueden generar nuevas muestras de Kobalos que utilicen el nuevo servidor de mando y control. Además, en la mayoría de los sistemas comprometidos, el cliente SSH también se modificaba para poder robar credenciales.
“Cualquier persona que utilice el cliente SSH en una máquina comprometida vería cómo sus credenciales eran robadas y podrían ser utilizadas más tarde por los atacantes para instalar Kobalos en otros servidores”, puntualiza Léveillé. La forma de mitigar esta amenaza es configurar una autenticación de doble factor para conectarse con los servidores SSH, ya que el uso de credenciales robadas parece ser una de las maneras de propagarse por diferentes sistemas.
