Malware Linux invisibile Shikitega distribuisce Monero Cryptominer

Come analizzato da AT&T Alien Labs, il malware Shikitega comporta una catena di infezione in più fasi. Fornisce alcune centinaia di byte per livello per incoraggiare l’attivazione del modulo. Ogni modulo risponde a una parte diversa del carico utile, dopodiché viene eseguito il successivo.

Il malware consente agli aggressori di controllare completamente il sistema ed eseguire cryptominer. Ogni modulo ha un compito specifico, come scaricare/eseguire meterpreter Metasploit , impostare la persistenza sul dispositivo infetto, sfruttare i difetti di Linux e scaricare/eseguire un cryptominer .

Il metodo per ottenere il compromesso iniziale è ancora sconosciuto. Il primo livello di infezione è un file ELF di 370 byte contenente lo shellcode codificato. Dopo che la decrittazione è stata completata, il payload Mettle finale con funzionalità di controllo e esecuzione del codice in remoto viene eseguito tramite “int 0x80”, che aiuta a eseguire la syscall appropriata.