Malware Wiper BiBi-Linux utilizado contra objetivos israelíes
Un malware recientemente descubierto llamado BiBi-Linux se está empleando en ataques dirigidos a sistemas Linux propiedad de empresas israelíes, con la intención de borrar datos.
El equipo de respuesta a incidentes de Security Joes descubrió esta carga maliciosa mientras investigaba una brecha de seguridad dentro de la red de una organización israelí. Hasta el momento, sólo los motores de escaneo de malware de dos proveedores de seguridad reconocen a BiBi-Linux como una amenaza, según informó VirusTotal.
Este malware se distingue por no dejar una nota de rescate ni ningún medio para que las víctimas se comuniquen con los atacantes para negociar el rescate, aunque pretende cifrar archivos.
En palabras de los investigadores de Security Joes, "Esta nueva amenaza no establece comunicación con servidores remotos de Comando y Control (C2) para la filtración de datos, no utiliza algoritmos de cifrado reversibles ni emplea notas de rescate para presionar a las víctimas a realizar pagos". En cambio, corrompe los archivos sobrescribiéndolos con datos inútiles, dañando tanto los datos como el sistema operativo.
BiBi-Linux - Modo de funcionamiento
La carga útil, identificada como un ejecutable ELF x64 llamado bibi-linux.out, permite a los atacantes seleccionar qué carpetas cifrar utilizando parámetros de línea de comandos. Si se ejecuta con privilegios de root y no se proporciona una ruta de destino específica, puede borrar completamente el sistema operativo de un dispositivo comprometido al intentar eliminar todo el directorio raíz '/'.
BiBi-Linux emplea múltiples subprocesos y un sistema de cola para mejorar la velocidad y la eficacia. Sobrescribe el contenido del archivo, dejándolo inutilizable, y añade un nombre parecido a un rescate y una extensión que contiene el término 'BiBi' (un apodo asociado con el Primer Ministro de Israel, Benjamín Netanyahu) seguido de un número.
El número adjunto significa la cantidad de veces que se ha borrado un archivo, según lo observado por BleepingComputer. En particular, la muestra de malware descubierta por Security Joes carece de ofuscación, empaquetado u otras medidas de protección, lo que simplifica el trabajo de los analistas de malware.
Esto sugiere que los actores de amenazas no están demasiado preocupados por que sus herramientas sean detectadas y analizadas; en cambio, se centran en maximizar el impacto de sus ataques.
Los grupos de amenazas rusos también han utilizado ampliamente el malware destructivo para atacar a organizaciones ucranianas, particularmente después de la invasión rusa de Ucrania en febrero de 2022. El malware de limpieza notable empleado para tales ataques incluye DoubleZero, HermeticWiper, IsaacWiper, WhisperKill, WhisperGate, CaddyWiper y AcidRain.
Por ejemplo, en enero, los piratas informáticos militares rusos Sandworm utilizaron cinco cepas diferentes de malware para borrar datos en la red de la agencia nacional de noticias de Ucrania (Ukrinform).
