Microsoft advierte sobre una nueva variante de botnet dirigida a sistemas Windows y Linux

Microsoft ha advertido a las empresas que sus expertos en seguridad han encontrado una nueva variante de la red de bots Sysrv que admite vulnerabilidades adicionales y puede obtener el control de los servidores web.

La familia de botnets se ha observado desde 2020 y se sabe que apunta a sistemas Windows y Linux, instalando mineros de criptomonedas Monero.

La nueva variante, denominada Sysrv-K, es compatible con gusanos y escanea Internet en busca de vulnerabilidades en aplicaciones web y bases de datos para explotar e instalarse, dijo Microsoft en un hilo de Twitter.

Sysrv-K funciona de manera similar a las variantes anteriores en el sentido de que busca claves de shell seguro (SSH), direcciones IP y nombres de host, antes de intentar distribuir copias de sí mismo por toda la red.

La naturaleza de gusanos Sysrv-K es una preocupación para las empresas que ejecutan Windows o Linux en sistemas orientados a Internet. Microsoft aconsejó a todos proteger todos los sistemas conectados a Internet y parchear las vulnerabilidades de seguridad conocidas.

Las vulnerabilidades utilizadas por Sysrv-K son una mezcla de amenazas más antiguas y más nuevas y abarcan una miríada de tipos, incluido el cruce de rutas, la divulgación remota de archivos, la descarga arbitraria de archivos y la ejecución remota de código.

Uno de los nuevos comportamientos observados en Sysrv-K, y no en las variantes anteriores, es el análisis de los archivos de configuración de WordPress y sus copias de seguridad para recuperar las credenciales de la base de datos.

Sysrv-K luego usa estas credenciales recopiladas para obtener el control del servidor web donde puede usar sus herramientas de comunicación mejoradas, como el acceso a un bot de Telegram.

La familia Sysrv

La familia de botnets Sysrv existe desde diciembre de 2020, pero su actividad se disparó notablemente alrededor de marzo de 2021, lo que llevó a las empresas de ciberseguridad como Juniper a analizar los ataques.

Desde que se lanzó por primera vez, ha habido varias mejoras en Sysrv, como compilar tanto el gusano como el minero de Monero en un solo binario el año pasado.

Juniper dijo que combinar los dos le daría al actor de amenazas "un mejor control y gestión" ya que el binario se actualiza constantemente.

Como parte del script del cargador, las claves SSH utilizadas en la variante más reciente también se agregaron el año pasado antes de que la actividad comenzara a aumentar. Los investigadores dijeron que esta era otra iniciativa utilizada para obtener una mayor persistencia en las máquinas de destino, lo que podría conducir a ataques más sofisticados que la minería de criptomonedas.

Un análisis de NHS Digital de Sysrv concluyó que el binario está escrito en Go, un lenguaje de desarrollo multiplataforma que se está volviendo cada vez más popular entre los ciberdelincuentes.

Sysrv prepara el sistema infectado al eliminar cualquier minero de criptomonedas instalado actualmente antes de finalizar los servicios y modificar el firewall del sistema.

Luego instala el minero Monero (el tipo de minero puede depender de la variante que infecta una máquina) y busca formas de moverse y propagarse lateralmente mientras se ejecuta el programa minero.