Lemon Duck - Anther Mira al obstinado criptominer
Lemon Duck es un malware de criptominería que existe desde hace un par de años. Fue detectado por primera vez por investigadores de seguridad en el verano de 2019, hace poco más de dos años, y desde entonces se ha utilizado en varias campañas específicas.
Los investigadores de Microsoft han publicado un examen actualizado del criptominero Lemon Duck, que describe algunas tendencias curiosas en su desarrollo.
Lemon Duck puede arrastrarse y apoderarse de las redes basadas en Windows y Linux. Sin embargo, tiene algunas características que lo convierten en un caso especial entre otros programas maliciosos criptográficos.
Si bien la mayoría de malware simplemente hace todo lo posible para evitar la detección, Lemon Duck va más allá. No solo apaga el software de seguridad y anti-malware en los sistemas comprometidos, en realidad puede erradicar otro malware de la competencia, incluso aplicar parches de vulnerabilidad para garantizar que el sistema se mantenga limpio de otros malware de la competencia.
El truco de parchear vulnerabilidades no garantiza simplemente un espacio indiscutible para Lemon Duck en la red. Tiene el efecto adicional de retrasar la investigación humana, ya que una empresa o red puede centrar primero su atención en los dispositivos que todavía carecen de parches.
Un ejemplo de Lemon Duck que limpia el piso de sus propios pasos es un ataque con malware en redes que ejecutan Microsoft Exchange Server. Después de abusar de los errores para infiltrarse en la red, se usó Lemon Duck para parchear los mismos errores que solía infiltrarse en primer lugar. Para colmo, los actores de amenazas detrás de esta campaña en particular utilizaron la propia herramienta de mitigación de Microsoft para corregir los errores.
Además, File Duck utiliza técnicas sin archivos e inyecciones de procesos y memoria directa, por lo que la detección se ve obstaculizada aún más.
Todo esto combinado hace que File Duck sea especialmente difícil de rastrear y eliminar, una vez que ha encontrado su camino en una red. Cuando se trata de plataformas de servidor que tienen suficiente sobrecarga de recursos, es posible que la pérdida de recursos del malware no se note demasiado de inmediato y puede seguir ejecutándose sin obstáculos durante períodos de tiempo prolongados.
