El actor de amenazas chino emplea el malware Melofee para espiar los sistemas Linux
ExaTrack, una empresa de ciberseguridad con sede en Francia, emitió una advertencia sobre un implante de Linux recientemente identificado, llamado "Melofee", que ha sido utilizado por el grupo chino de ciberespionaje Winnti para llevar a cabo ataques dirigidos.
Melofee está diseñado para servidores Linux y se instala a través de comandos de shell, de forma similar a otros rootkits de Linux empleados por Winnti. El malware incluye un rootkit en modo kernel que es una versión modificada del proyecto de código abierto Reptile. Se han identificado muestras de Melofee y comparten una base de código común, pero muestran pequeños cambios en el cifrado, el protocolo de comunicación y la funcionalidad. La versión más reciente del malware presenta la inclusión de un rootkit en modo kernel. La cadena de infección de Melofee implica el uso de comandos de shell para descargar un instalador y un binario personalizado desde un servidor controlado por el atacante. El instalador, escrito en C++, instala tanto el rootkit como el implante del servidor y garantiza que ambos se ejecuten en el momento del arranque.
El implante puede realizar varias acciones, incluida la eliminación de su proceso y la eliminación de la persistencia, la actualización, la filtración de información del sistema, el lanzamiento de un shell y la creación/eliminación de directorios. Melofee puede comunicarse a través de TCP, usar un formato de paquete personalizado y enviar datos a través del protocolo KCP. El análisis de ExaTrack de la infraestructura de Melofee reveló conexiones con servidores C&C utilizados por otras familias de malware como ShadowPad, Winnti y HelloBot. ExaTrack también descubrió un implante de Linux llamado 'AlienReverse', que mostraba similitudes con el código de Melofee, pero se cree que es una familia de malware distinta.
¿Qué es el APT chino de Winnti?
El Grupo Winnti es una Amenaza Persistente Avanzada (APT) china que ha estado activa desde al menos 2010. El grupo es conocido por sus sofisticadas campañas de ciberespionaje y se ha relacionado con numerosos ataques de alto perfil contra objetivos en varias industrias, incluida la de juegos. , sanidad, tecnología y telecomunicaciones. El Grupo Winnti se ha asociado con el robo de propiedad intelectual, código fuente y otra información confidencial, que luego probablemente se utiliza para obtener ganancias comerciales o para apoyar los intereses del gobierno chino.
El grupo también se ha relacionado con el uso de ataques a la cadena de suministro, en los que se dirigen a proveedores de software y otros proveedores externos para obtener acceso a las redes de sus clientes. En general, se considera que Winnti Group es uno de los grupos APT más avanzados y prolíficos que operan fuera de China.
