🚀 A CloudSEK se torna a primeira empresa de segurança cibernética de origem indiana a receber investimentos da Estado dos EUA fundo
Leia mais
Consultivo
Aviso sobre malwareTipo
Ladrão de credenciais, BackdoorNome
Malware KobalosIndústrias afetadas
TI e ITES, Serviços governamentaisO Kobalos é um malware Linux sofisticado que tem uma base de código pequena, mas complexa. Em janeiro de 2021, os pesquisadores da ESET descobriram esse malware atacando ativamente computadores de alto desempenho em várias organizações. Embora a base de código do malware seja pequena, ela é suficiente para atacar Linux, BSD, Solaris e provavelmente outros sistemas operacionais.Execução
O Kobalos foi detectado como alvo de clusters de supercomputadores na Polônia, Canadá e China. Os operadores da Kobalos implantam um malware diferente para sequestrar conexões de servidores SSH e roubar credenciais. Em seguida, as credenciais roubadas são usadas para penetrar nos clusters de computadores e mobilizar a Kobalos. Ele funciona como um backdoor e abusa de portas de origem TCP específicas.O Kobalos permite que os invasores acessem o sistema de arquivos remotamente, gerem sessões de terminal etc. Uma das características exclusivas desse malware é que ele pode transformar um servidor comprometido em um servidor C2 com um único comando. Depois que o malware é lançado em um supercomputador, o código fica oculto em um executável do servidor OpenSSH e o Kobalos escuta uma porta de origem TCP específica que, em seguida, aciona o backdoor. As outras variantes do Kobalos atuam como intermediárias para as conexões tradicionais de servidores de comando e controle (C2). [caption id="attachment_10009" align="alignnone” width="768"]
Recursos do Kobalos e formas de acessá-los [/caption]
O código Kobalos é mantido em uma única função que se chama periodicamente para realizar subtarefas, dificultando a engenharia reversa. O backdoor exige uma chave RSA privada de 512 bits e uma senha de 32 bytes para ser executado. Uma vez validadas, as chaves RC4 são trocadas e a comunicação adicional é criptografada com elas.Táticas do MITRE ATT&CK
Tática
Nome/ID
PersistênciaCompromise Client Software Binary (TI554), Sinalização de Tráfego (TI205)Evasão de defesaLimpar histórico de comandos (T1070.003), Timestomp (T1070.006), Embalagem de software (T1027.002)Comando e controleCanal criptografado: criptografia simétrica (T1573.001), canal criptografado: criptografia assimétrica (T1573.002), proxy: proxy multi-hop (T1090.003)Impacto
Impacto nos negócios
- Perda financeira para a organização se suas operações forem interrompidas
- Perda da reputação da marca
- PII comprometida leva a ataques de engenharia social
Impacto técnico
Cria um backdoor que permite o acesso ao dispositivo do usuário. Por meio do qual o invasor poderá modificar arquivos ou iniciar o software malicioso.Indicadores de compromisso
SHA1
- 1dd0edc5744d63a731db8c3b42efbd09d91fed78
- 325f24e8f5d56db43d6914d9234c08c888cdae50
- 479f470e83f9a5b66363fba5547fdfcf727949da
- 659cbdf9288137937bb71146b6f722ffcda1c5fe
- 6616de799b5105ee2eb83bbe25c7f4433420dff7
- a4050a8171b0fa3ae9031e0f8b7272facf04a3aa
- affa12cc94578d63a8b178ae19f6601d5c8bb224
- c1f530d3c189b9a74dbe02cfeb29f38be8ca41ba
- e094dd02cc954b6104791925e0d1880782b046cf
- fbf0a76ced2939d1f7ec5f9ea58c5a294207f7fe
SHA256
- 13cbde1b79ca195a06697df937580c82c0e1cd90cc91c18ddfe4a7802e8e923a
- 29e2f15a4a6275f43d86cf613c2934171aa5be187da7fdaa99a006245890de1f
- 4d610283c93904d984a42269aef65c2cab89f4a127d9c229a700e6aaf9d7000e
- 6c36e0341ea1529665de88b690a19a18ea02d2a2a5bae6d745e01efc194e486a
- 73576d5a21ec2f164fe37bea86964e18dca1b800a8c7a104223cc35d74e7bd58
- 75edf6662811d001da179b96bd06d675aa2439fd88a981cc84f24b4a5b4f8f45
- 9ed33b43e679ad98615e1a4e8c46dbeb9b93271625e46f4b4d021099b4b6fb74
- d51cb52136931af5ebd8628b64d6cd1327a99196b102d246f52d878ffb581983
- dd1b3cd0042d4c090bc72099f30e4b76d5f2772f9f9f95176f2c59bc2ac30aa8
- f8c931767bc0ab951b72ab691163e6d1fc3c50e4ceee5277858d3e77a0c02e92
Mitigação
- Use um software antivírus atualizado que detecta e interrompe infecções por malware
- Aplique patches críticos ao sistema e ao aplicativo
- Use senhas fortes e habilite o 2FA nos logins
- Verifique os privilégios e permissões atribuídos ao usuário
- Facilite a denúncia de comportamentos suspeitos pelos usuários
- Faça backup de dados regularmente
