Investigadores de seguridad han descubierto un troyano en Linux altamente molesto, el cual ha sido utilizado por los ciberdelincuentes, con el fin de robar información personal y confidencial de instituciones gubernamentales, militares y compañías farmacéuticas de todo el mundo.
Un trozo previamente desconocido de un rompecabezas más grande llamado «Turla,» una de las más complejas Herramienta Avanzada de Empaquetado (APT) descubiertas por los investigadores de Kaspersky Lab en agosto, se mantuvo oculto en algunos sistemas durante al menos cuatro años. Su característica de rootkit, lo hacía extremadamente difícil de detectarlo.
La empresa de seguridad alemána, G Data, cree que la campaña Turla está vinculada a Rusia y en el pasado ha explotado una variedad de vulnerabilidades de Windows, al menos, dos de los cuales eran de tipo Zero Day, para infectar a las instituciones gubernamentales, embajadas, militar, educación, investigación, y las empresas farmacéuticas en más de 45 países.
Recientemente, investigadores de seguridad de Kaspersky Lab con sede en Moscú han detectado la primera muestra de Turla enfocada para el sistema operativo Linux. Sin duda, esta muestra encontrada en este sistema operativo, muestra la posibilidad de infección en otros sistemas operativos.
«El pequeño fragmento descubierto de Turla, es inusual en el hecho de que es la primera muestra Turla focalizada para el sistema operativo Linux que hemos descubierto», dijo Kurt Baumgartner, investigador de Kaspersky en un aviso. «Sospechamos que este factor se ejecuta desde hace años en un lugar de víctima, pero no tenemos datos concretos para apoyar esa idea por el momento.»
Los módulos del software malicioso Turla orientado a Linux, están escritos en C y C ++, además contiene código de bibliotecas previamente escritas. El malware utiliza la comunicación de red oculta y despojado de información de símbolos, lo que hace que sea difícil para los investigadores realizar ingeniería inversa para analizar este malware.
Como resultado, el troyano Turla basado en Linux, puede tener capacidades que aún no han sido descubiertas por completo, además, no se puede detectar mediante el comando Netstat, como se podría realizar comúnmente.
Con el fin de ocultarse, la puerta trasera se encuentra inactivo hasta que los hackers envían paquetes inusualmente diseñados que contienen «números mágicos» en sus números de secuencia. El malware tiene capacidad de pasar por desapercibido en los ordenadores de las víctimas durante años. El troyano contiene funcionalidades de ataque, incluyendo la ejecución arbitraria de comandos a distancia, la interceptación de paquetes entrantes y gestión remota a pesar de que no requerir los privilegios que comúnmente se necesitarían.
A principios de este año, Kaspersky Labs investigaciones sugirieron nombrarla Turla, como la serpiente. Fue desarrollado en las capacidades de Agent.Biz, el gusano que salió a la superficie en 2008, cuando el Departamento de Defensa de Estados Unidos alegó que sus redes clasificadas habían sido violados por una primera versión del mismo virus, descrito por funcionarios como «la peor violación de estadounidenses ordenadores militares de la historia.» El rootkit Uroburos, fue también uno de los componentes que sirvieron para la campaña de la serpiente.
Agent.Biz desde entonces se ha desarrollado con muchas características avanzadas que lo hacen aún más flexible y sofisticado, en comparación a sus anteriores versiones. Se cree que han inspirado a otras creaciones de malware desagradables incluyendo Flame y Guass.
