Capoae Malware apunta a servidores web y WordPress

Los ciberdelincuentes continúan experimentando activamente con malware que utiliza el lenguaje de programación Golang. Este enfoque tiene múltiples ventajas, pero hay dos principales que lo hacen tan atractivo para los ciberdelincuentes. Debido a que Golang es un lenguaje bastante novedoso, algunas herramientas de seguridad aún no son lo suficientemente buenas para detectar y eliminar códigos maliciosos. Además de esto, Golang ofrece una gran compatibilidad multiplataforma sin pedir los requisitos previos que JAVA, por ejemplo, exige. Otras familias de malware de Golang son RustyBuer y Klingon RAT . Capoae Malware es uno de los últimos proyectos de Golang. Esta muestra en particular va después de los servidores web e intenta utilizar varias vulnerabilidades conocidas para obtener credenciales y permisos.

La última campaña de Capoae Malware apunta a dos vulnerabilidades principales:

• CVE-2020-14882: afecta a las versiones obsoletas de Oracle WebLogic Server y conduce a la ejecución remota de código (RCE).
• CVE-2018-20062: afecta a ThinkPHP y también permite a los atacantes ejecutar código remoto.

Además de estos exploits conocidos, los delincuentes detrás del Capoae Malware también están utilizando la fuerza bruta para atacar servidores con credenciales de inicio de sesión laxas. Uno de los sistemas afectados recibió la carga útil mediante el uso de un complemento malicioso que los atacantes instalaron gracias a las credenciales robadas. El complemento defectuoso, denominado Monitor de descargas, afecta las instalaciones de WordPress.

Características de Capoae Malware

El propósito de esta amenaza es implementar una carga útil, que trae una copia modificada del minero de criptomonedas XMRig. Este software en particular es el favorito número uno de los ciberdelincuentes que buscan ejecutar operaciones de criptojacking. Utiliza los recursos del servidor infectado para extraer la criptomoneda Monero.

Sin embargo, dejar caer al minero no es el final del ataque. Capoae Malware también implementa shells web, que otorgan al atacante más control sobre el servidor. Los delincuentes pueden utilizar los servidores web infectados y las instalaciones de WordPress para escanear Internet en busca de más víctimas potenciales.

Para protegerse del Capoae Malware, es necesario utilizar funciones de seguridad sólidas, así como credenciales de inicio de sesión sólidas. Por supuesto, también es obligatorio aplicar las últimas actualizaciones a todo el software conectado a Internet para reducir el riesgo de ataques.