Investigadores de Synacktiv han descubierto un nuevo rootkit para GNU/Linux llamado LinkPro. Este malware se distingue por su capacidad para ocultarse mediante el uso de dos módulos eBPF (extended Berkeley Packet Filter). Uno de los módulos se encarga de ocultar el rootkit, mientras que el otro permite su activación remota al recibir un paquete TCP específico, también conocido como ‘magic packet’.
La infección inicial, según el análisis, se produjo a través de un servidor Jenkins vulnerable a la CVE-2024-23897, explotando un fallo con un puntaje CVSS de 9.8. Posteriormente, una imagen maliciosa de Docker Hub, identificada como ‘kvlnt/vv’ (y ya eliminada), fue desplegada en varios clústeres de Kubernetes.
El rootkit opera en dos modos: pasivo (inverso) y activo (directo). En el modo pasivo, LinkPro espera un paquete TCP específico (con un tamaño de ventana de 54321) para activarse. En el modo activo, el malware inicia la comunicación con su servidor de comando y control (C2).
LinkPro utiliza técnicas avanzadas para mantenerse oculto, incluyendo la manipulación de archivos de configuración del sistema y el hooking de funciones de la biblioteca libc. Esto dificulta la detección del malware y permite a los atacantes ejecutar comandos maliciosos en el sistema comprometido.
Entre las acciones que LinkPro puede realizar se encuentran la ejecución de comandos shell, la enumeración de archivos y directorios, la manipulación de archivos, la descarga de archivos y la creación de túneles SOCKS5. Se sospecha que los actores detrás de este ataque tienen motivaciones financieras.
Este rootkit representa una amenaza significativa para los sistemas Linux, especialmente aquellos que se ejecutan en entornos de nube. Su capacidad para ocultarse y activarse de forma remota lo convierte en un malware difícil de detectar y erradicar.
Fuente original: Ver aquí