El backdoor SysJoker multiplataforma ataca Windows, macOS y Linux
Expertos en enterozer haber descubierto una nueva puerta trasera SysJoker multiplataforma que se usa contra dispositivos en Windows, Linux y macOS como parte de una campaña de ciberespionaje.
Según los investigadores, el malware ha estado activo desde al menos la segunda mitad de 2021. El malware se descubrió por primera vez en diciembre. 2021 durante un ataque a un servidor web basado en Linux propiedad de una institución educativa no identificada.
El malware está escrito en C++ y cada variante está adaptada para un sistema operativo específico. sin embargo, todas las variaciones no son detectadas por las soluciones de seguridad presentadas en VirusTotal.
en ventanas, SysJoker usa un cuentagotas de primer nivel en formato DLL, que luego ejecuta los comandos de PowerShell y hace lo siguiente: Obtiene el archivo ZIP SysJoker de la GitHub repositorio, lo extrae a C:\Datos del programaSistema de recuperación, y ejecuta la carga útil. El malware está inactivo durante unos dos minutos antes de crear un nuevo directorio y copiarse a sí mismo como Intel Servicio de interfaz de usuario común de gráficos (igfxCUIService.exe).
Después de recopilar los datos, el malware se afianzará en el sistema al agregar una nueva clave de registro (HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun). El siguiente paso es la citada llamada al servidor de gestión., que utiliza un enlace codificado a Google Drive.
Cuando la información recopilada durante las primeras etapas de la infección se envía a la C&Servidor C, responde con un token único, que luego sirve como identificador de la máquina infectada. también, el servidor de control puede ordenar a la puerta trasera que instale malware adicional, ejecutar comandos específicos en el dispositivo infectado, o borrarse a sí mismo. Se observa que las dos últimas funciones aún no se han implementado completamente..
Los investigadores escriben que las versiones de Linux y macOS no tienen cuentagotas de DLL, pero generalmente realizan las mismas operaciones maliciosas en el dispositivo infectado.
Tal vez te interese saber qué los Capoae el malware instala un complemento de puerta trasera en los sitios de WordPress, y eso Nuevo cargador x malware roba credenciales de macOS y Windows.
