Investigadores de Synacktiv han descubierto un nuevo rootkit para GNU/Linux denominado LinkPro. Este malware se caracteriza por usar eBPF (extended Berkeley Packet Filter) para ocultar su presencia y activarse remotamente al recibir un ‘paquete mágico’ TCP. La infección inicial se produce a través de la explotación de un servidor Jenkins vulnerable a CVE-2024-23897. Posteriormente, se despliega una imagen Docker maliciosa (kvlnt/vv) en clústeres de Kubernetes.

La imagen Docker incluye una base de Kali Linux y varios componentes maliciosos, incluyendo un script para iniciar SSH, una VPN llamada vnt que permite al atacante acceder al servidor comprometido y utilizarlo como proxy, y un downloader basado en Rust (vGet) que descarga un payload VShell encriptado desde un bucket de S3. Este payload se comunica con un servidor C2.

Además, se entregan otros tipos de malware a los nodos de Kubernetes, incluyendo un dropper que instala otro backdoor VShell y el rootkit LinkPro, escrito en Golang. LinkPro puede operar en modo pasivo (reverse) o activo (forward), esperando comandos del servidor C2 tras recibir un paquete TCP específico, o iniciando el contacto directamente.

LinkPro utiliza módulos eBPF para ocultar sus procesos y actividad de red. Si la instalación de estos módulos falla, utiliza la librería compartida ‘libld.so’ en ‘/etc/ld.so.preload’ como alternativa. Para persistencia, configura un servicio systemd. El ‘paquete mágico’ es un paquete TCP con un valor de tamaño de ventana de 54321. Al detectarlo, el módulo Knock guarda la IP de origen y una fecha de expiración (una hora). Luego, monitorea paquetes TCP adicionales con la misma IP de origen, permitiendo el control remoto durante ese período. El rootkit también modifica los encabezados de los paquetes TCP para redirigirlos al puerto de escucha de LinkPro (2333) y enmascarar el puerto de origen (2233).

Entre los comandos soportados por LinkPro se encuentran la ejecución de /bin/bash, comandos shell, enumeración de archivos, operaciones de archivos, descarga de archivos y la configuración de un túnel proxy SOCKS5. Se sospecha que los atacantes tienen motivaciones financieras.

Este tipo de amenazas resalta la importancia de mantener la seguridad de la infraestructura en la nube, incluyendo la protección de servidores Jenkins, la revisión de imágenes Docker utilizadas y la implementación de soluciones de detección y respuesta (EDR/XDR) para identificar y mitigar actividades maliciosas.

Fuente original: Ver aquí