Los investigadores descubrieron una puerta trasera nunca antes vista creada desde cero para sistemas que ejecutan Windows, macOS o Linux que no fue detectada por prácticamente todos los motores de análisis de malware.
Investigadores de la empresa de seguridad Intezer señalado descubrieron SysJoker, el nombre que le dieron a la puerta trasera, en el servidor web basado en Linux de una «institución educativa líder». Como excavaron los investigadores, también encontraron versiones de SysJoker para Windows y macOS. Sospechan que el malware multiplataforma se lanzó en la segunda mitad del año pasado.
El descubrimiento es importante por varias razones. Primero, el malware multiplataforma es bastante raro, y la mayoría del malware se escribe para un sistema operativo específico. La puerta trasera también se escribió desde cero y usó cuatro servidores de comando y control separados, lo que indica que las personas que la desarrollaron y usaron eran parte de un actor de amenazas avanzado que invirtió recursos significativos. También es inusual que se encuentre malware de Linux inédito en un ataque real.
El análisis de la versión para Windows (por Intezer) y la versión para Mac (por el investigador Patrick Wardle) reveló que SysJoker proporciona una funcionalidad avanzada de puerta trasera. Los archivos ejecutables para las versiones de Windows y macOS tenían el sufijo .ts. Intezer dijo que esto podría ser una indicación de que el archivo se hizo pasar por un escriba un guión la aplicación se extendió después de ser introducida en el repositorio de JavaScript de npm. Intezer continuó diciendo que SysJoker se hace pasar por una actualización del sistema.
Mientras tanto, Wardle dijo que la extensión .ts puede indicar que el archivo está suplantando flujo de transporte de video contenido. También descubrió que el archivo macOS estaba firmado digitalmente, pero con un firma ad-hoc.
SysJoker está escrito en C++ y, hasta el martes, las versiones de Linux y macOS no se detectaron en absoluto en el motor de búsqueda de malware VirusTotal. La puerta trasera genera su dominio de servidor de control al decodificar una cadena extraída de un archivo de texto alojado en Google Drive. Mientras los investigadores lo analizaban, el servidor cambió tres veces, lo que indica que el atacante estaba activo y monitoreando las máquinas infectadas.
Según las organizaciones objetivo y el comportamiento del malware, la evaluación de Intezer es que SysJoker está apuntando a objetivos específicos, muy probablemente con el propósito de «espiar con un movimiento lateral que también podría conducir a un ataque de ransomware como ‘uno de los siguientes pasos’.
