Kobalos es un nuevo malware que usa una versión troyanizada del software OpenSSH para robar credenciales en supercomputadoras y servidores de redes académicas y de investigación con sistema operativo Linux, aunque no se descartan otras plataformas.

Se ha calificado como «pequeño, complejo y engañoso». A pesar de su diminuto tamaño, solo 24 KB para muestras de 32/64 bits, Kobalos es una pieza compleja que incluye técnicas personalizadas de ofuscación y anti-forenses que dificultan su análisis y una cantidad enorme de características para su tamaño.

No se pudo establecer el vector de ataque inicial que permitió a los piratas informáticos obtener acceso administrativo para instalar Kobalos. Sin embargo, algunos de los sistemas comprometidos «funcionaban con sistemas operativos y software antiguos, sin soporte o sin parches», por lo que la explotación de una vulnerabilidad conocida es un escenario probable y de ahí la recomendación de mantener actualizados los sistemas.

Se realizó ingeniería inversa a Kobalos (el nombre de la traviesa criatura de la mitología griega) para escanear Internet en busca de víctimas del malware. En su mayor parte fueron supercomputadoras, pero también encontraron incidentes relacionados con servidores privados. Kobalos ha alcanzado algunos objetivos importantes, incluidos sistemas gubernamentales en los Estados Unidos, universidades europeas y un importante ISP en Asia.

Si bien la puerta trasera multiplataforma funciona en Linux, FreeBSD y Solaris, también hay artefactos que indican que pueden existir variantes de este malware para AIX e incluso para Windows.

Kobalos proporciona acceso remoto al sistema de archivos y puede generar sesiones de terminal, lo que permitiría a los atacantes ejecutar comandos arbitrarios. Se notificó a todas las víctimas de Kobalos que pudieron identificar y trabajó con ellas para solucionar la infección. Los investigadores han publicado un análisis técnico completo de Kobalos que incluye indicadores de compromiso que pueden ayudar a las víctimas potenciales a detectar el malware.

Créditos: Juan Ranchal