Como el sistema operativo de nube más común, Linux es una parte fundamental de la infraestructura digital y se está convirtiendo rápidamente en el tiquete de acceso de los atacantes al entorno de nubes múltiples. Las contramedidas actuales de malware se centran principalmente en cómo abordar las amenazas basadas en Windows, lo que deja a muchas implementaciones de nubes públicas y privadas vulnerables a ataques dirigidos a cargas de trabajo basadas en Linux.
VMware, Inc. (NYSE: VMW) publicó un informe sobre las amenazas titulado “Exponer malware en entornos de nubes múltiples basados en Linux”. Entre las principales conclusiones que detallan cómo los cibercriminales utilizan el malware para atacar los sistemas operativos basados en Linux se incluyen:
- Ransomware está evolucionando para atacar imágenes de host de Linux utilizadas para hacer girar cargas de trabajo en entornos virtualizados;
- El 89% de los ataques de criptosecuestros utilizan bibliotecas relacionadas con XMRig; y
- Más de la mitad de los usuarios de Cobalt Strike pueden ser cibercriminales o, al menos, utilizar Cobalt Strike de forma ilícita.
“Los cibercriminales están ampliando drásticamente su alcance y añadiendo malware dirigido a los sistemas operativos basados en Linux a su kit de herramientas de ataque para maximizar su impacto con el menor esfuerzo posible”, afirmó Giovanni Vigna, director senior de inteligencia frente a amenazas de VMware. “En lugar de infectar una terminal y luego navegar hacia un objetivo de mayor valor, los cibercriminales han descubierto que poner en peligro un único servidor puede ofrecer una mayor recompensa y el acceso que buscan. Los atacantes consideran las nubes públicas y privadas como objetivos de gran valor debido al acceso que proporcionan a los servicios de infraestructura críticos y a los datos confidenciales. Lamentablemente, las actuales contramedidas relativas al malware se centran principalmente en cómo abordar las amenazas basadas en Windows, lo que hace que muchas implementaciones de nubes públicas y privadas sean vulnerables a los ataques contra sistemas operativos basados en Linux”.
A medida que el malware dirigido a sistemas operativos basados en Linux aumenta tanto en volumen como en complejidad en medio de un panorama de amenazas en constante cambio, las organizaciones deben dar mayor prioridad a la detección de amenazas. En este informe, la Unidad de Análisis de Amenazas de VMware (TAU) analizó las amenazas a los sistemas operativos basados en Linux en los entornos de nubes múltiples: ransomware, criptomineros y herramientas de acceso remoto.
El ransomware apunta a la nube para infligir el máximo daño
Como una de las principales causas de incumplimiento para las organizaciones, un ataque de ransomware exitoso en un entorno de nube puede tener consecuencias devastadoras.(2) Los ataques de ransomware contra las implementaciones en la nube están dirigidos y a menudo se combinan con la filtración de datos, implementando un esquema de extorsión doble que mejora las probabilidades de éxito. Un nuevo desarrollo muestra que el ransomware está evolucionando para atacar imágenes de host Linux utilizadas para hacer girar las cargas de trabajo en entornos virtualizados. Los atacantes buscan ahora los activos más valiosos en entornos de nube para infligir la máxima cantidad de daño al objetivo. Entre los ejemplos se incluyen la familia de ransomware Defray777, que encriptó imágenes de host en servidores ESXi, y la familia de ransomware DarkSide, que paralizó las redes de Colonial Pipeline y causó una escasez de gasolina en todo el país en los Estados Unidos
Los ataques de criptosecuestros usan XMRig para minar Monero
Los cibercriminales que buscan una recompensa monetaria instantánea a menudo atacan a las criptomonedas utilizando uno de dos enfoques. Los cibercriminales incluyen la funcionalidad de robo de carteras en malware o monetizan los ciclos de CPU robados para extraer con éxito criptomonedas en un ataque llamado criptosecuestro. La mayoría de los ataques de criptosecuestros se centran en la minería de la moneda Monero (o XMR) y VMware TAU descubrió que el 89% de los criptomineros utilizaban bibliotecas relacionadas con XMRig. Es por esto que, cuando se identifican las bibliotecas y módulos específicos de XMRig en los binarios de Linux, es probable que se produzca un comportamiento criptominero malicioso. VMware TAU también observó que la evasión de defensa es la técnica más utilizada por los criptomineros. Desafortunadamente, debido a que los ataques de criptosecuestros no interrumpen completamente las operaciones de entornos de nube como el ransomware, son mucho más difíciles de detectar.