Kaspersky descubrió una campaña maliciosa en la que se empleó un instalador del software Free Download Manager para difundir una puerta trasera de Linux durante un mínimo de tres años. Los investigadores descubrieron que las víctimas se infectaron al descargar el software del sitio web oficial, lo que indica que se trata de un posible ataque a la cadena de suministro. Las variantes del malware utilizado en esta campaña se identificaron por primera vez en 2013. Las víctimas están ubicadas en varios países, entre ellos, Brasil, China, Arabia Saudita y Rusia.
Los expertos de Kaspersky identificaron que en esta campaña los agentes de amenazas implementaron un tipo de troyano en los dispositivos de las víctimas utilizando una versión infectada del popular software gratuito Free Download Manager. Una vez infectados, el objetivo de los atacantes es robar información como detalles sobre el sistema, historial de navegación, contraseñas guardadas, archivos de billeteras de criptomonedas e incluso, credenciales para servicios en la nube, como Amazon Web Services o Google Cloud.
Los investigadores creen que es probable que se trate de un ataque a la cadena de suministro. Durante la investigación sobre las guías de instalación de Free Download Manager en YouTube para computadoras Linux, encontraron ejemplos en los que los creadores de vídeos mostraron, sin darse cuenta, el proceso de infección inicial: al hacer clic en el botón de descarga en el sitio web oficial, se instalaba una versión maliciosa de Free Download Manager. Por el contrario, en otro video se descargó una versión legítima del software. Es posible que los programadores de malware hayan escrito la redirección maliciosa de manera que aparezca con cierto grado de probabilidad o basándose en la huella digital de la víctima potencial. Como resultado, algunos usuarios encontraron un paquete malicioso, mientras que otros obtuvieron uno limpio.
De acuerdo con los hallazgos de Kaspersky, la campaña duró por lo menos tres años, desde 2020 a 2022. El paquete malicioso instaló la versión Free Download Manager presentada en 2020. Además, durante este período, hubo conversaciones en sitios web como StackOverflow y Reddit acerca de los problemas causados por la distribución del software infectado. Sin embargo, los usuarios no sabían que estos problemas eran causados por una actividad maliciosa.
“Las soluciones de Kaspersky para Linux han logrado detectar variantes de la puerta trasera analizada desde 2013. Sin embargo, existe una idea errónea generalizada de que Linux es inmune al malware, lo que deja a muchos de estos sistemas sin una protección de ciberseguridad adecuada. Esa falta de protección hace que estos sistemas sean objetivos atractivos para los ciberdelincuentes. Esencialmente, el caso de Free Download Manager demuestra el reto que es detectar a simple vista un ciberataque en curso a un sistema Linux. Por lo tanto, es esencial que las computadoras basadas en Linux, tanto de escritorio como de servidor, implementen medidas de seguridad confiables y efectivas”, dice Georgy Kucherin, experto en seguridad del Equipo Global de Investigación y Análisis (GReAT) de Kaspersky.
Para evitar amenazas basadas en Linux y de otro tipo, conviene implementar las siguientes medidas de seguridad:
- Proteger los endpoints con una solución de seguridad como Kaspersky Endpoint Security for Business, que esté equipada con detección basada en comportamiento y capacidades de control de anomalías para una protección efectiva contra amenazas conocidas y desconocidas.
- Utilizar Kaspersky Embedded Systems Security. Esta solución adaptable de varias capas proporciona seguridad optimizada para sistemas, dispositivos y escenarios integrados basados en Linux, de conformidad con los rigurosos estándares reglamentados que a menudo se aplican a estos sistemas.
- Dado que las credenciales robadas pueden ponerse a la venta en la darkweb, utilizar Kaspersky Digital Footprint Intelligence servirá para monitorear los recursos ocultos e identificar rápidamente las amenazas relacionadas.
El análisis técnico de la campaña está disponible en Securelist.
