malware de Linux

Los virus que se enumeran a continuación representan una amenaza potencial, aunque mínima, para los sistemas Linux. Si se ejecutara un binario infectado que contuviera uno de estos virus, el sistema se infectaría temporalmente, ya que el núcleo de Linux reside en memoria y es de solo lectura. El nivel de infección dependería del usuario y sus privilegios al ejecutar el binario. Un binario ejecutado con la cuenta de root podría infectar todo el sistema. Las vulnerabilidades de escalada de privilegios podrían permitir que un malware que se ejecute con una cuenta limitada infecte todo el sistema.

Esto se aplica a cualquier programa malicioso que se ejecute sin medidas especiales para limitar sus privilegios. Es muy sencillo añadir un fragmento de código a cualquier programa que un usuario pueda descargar y permitir que este código adicional descargue un servidor de inicio de sesión modificado, un servidor de retransmisión de correo abierto o un programa similar, y que este componente adicional se ejecute cada vez que el usuario inicie sesión. No se requieren habilidades especiales para escribir malware. Sin embargo, sí se pueden requerir habilidades especiales para engañar al usuario y lograr que ejecute el programa ( troyano ) en primer lugar.

El uso de repositorios de software reduce significativamente el riesgo de instalación de malware, ya que estos repositorios son revisados ​​por mantenedores que se aseguran de que estén libres de malware. Posteriormente, para garantizar la distribución segura del software, se proporcionan sumas de verificación . Estas permiten detectar versiones modificadas que podrían haberse introducido, por ejemplo, mediante el secuestro de comunicaciones con un ataque de intermediario o mediante un ataque de redirección como el envenenamiento de ARP o DNS . El uso cuidadoso de estas firmas digitales proporciona una línea de defensa adicional, que limita el alcance de los ataques a los autores originales, los mantenedores de paquetes y versiones, y posiblemente a otras personas con acceso administrativo adecuado, según cómo se gestionen las claves y las sumas de verificación. Las compilaciones reproducibles garantizan que el código fuente firmado digitalmente se haya transformado de forma fiable en una aplicación binaria.

La principal amenaza para los sistemas tipo Unix son las vulnerabilidades en los demonios de red , como SSH y los servidores web. Estas vulnerabilidades pueden ser aprovechadas por gusanos informáticos o para ataques contra objetivos específicos. Dado que los servidores se actualizan con bastante rapidez al detectarse una vulnerabilidad, solo se han registrado unos pocos gusanos de este tipo de gran alcance. Sin embargo, como los objetivos específicos pueden ser atacados mediante una vulnerabilidad desconocida públicamente , no existe garantía de que una instalación determinada sea segura. Además, los servidores sin dichas vulnerabilidades pueden ser atacados con éxito mediante contraseñas débiles .

Los servidores Linux también pueden ser utilizados por malware sin ningún ataque contra el sistema en sí, donde, por ejemplo, el contenido web y los scripts no están suficientemente restringidos o verificados y el malware los utiliza para atacar a los visitantes. Algunos ataques utilizan malware complejo para atacar servidores Linux, pero cuando la mayoría obtiene acceso root completo, los hackers pueden atacar ^{[ 7 ]} modificando cualquier cosa, como reemplazar binarios o inyectar módulos. Esto puede permitir la redirección de los usuarios a contenido diferente en la web. ^{[ 8 ]} Por lo general, un script CGI destinado a dejar comentarios podría, por error, permitir la inclusión de código que explota vulnerabilidades en el navegador web .

Las distribuciones antiguas de Linux eran relativamente vulnerables a los ataques de desbordamiento de búfer : si el programa no dependía del tamaño del búfer, el núcleo ofrecía una protección limitada, lo que permitía a un atacante ejecutar código arbitrario con los privilegios de la aplicación vulnerable. Los programas que obtenían acceso de superusuario incluso al ser ejecutados por un usuario sin privilegios (mediante el bit setuid ) resultaban especialmente atractivos para los atacantes. Sin embargo, desde 2009, la mayoría de los núcleos incluyen aleatorización del espacio de direcciones (ASLR), protección de memoria mejorada y otras extensiones que dificultan enormemente este tipo de ataques.

Un área de preocupación identificada en 2007 es la de los virus multiplataforma , impulsada por la popularidad de las aplicaciones multiplataforma. Este problema cobró gran relevancia en la concienciación sobre el malware con la distribución de un virus para OpenOffice.org llamado Badbunny .

Stuart Smith, de Symantec, escribió lo siguiente:

Lo que hace que este virus merezca ser mencionado es que ilustra la facilidad con la que se pueden abusar de las plataformas de scripting, la extensibilidad, los complementos, ActiveX, etc. Con demasiada frecuencia, esto se olvida en el afán de igualar las características con las de otro proveedor... La capacidad del malware para sobrevivir en un entorno multiplataforma y multiaplicación cobra especial relevancia a medida que se propaga cada vez más malware a través de sitios web. ¿Cuánto tiempo pasará hasta que alguien utilice algo así para instalar un infector de JavaScript en un servidor web, independientemente de la plataforma? ^{[ 9 ]}

Como ocurre con cualquier sistema operativo, Linux es vulnerable al malware que engaña al usuario para que lo instale mediante ingeniería social . En diciembre de 2009 se descubrió un protector de pantalla malicioso con forma de cascada que contenía un script que utilizaba el PC Linux infectado para realizar ataques de denegación de servicio . ^{[ 10 ]}

El informe de seguridad de IBM: Los ataques a las industrias que apoyan los esfuerzos de respuesta a la COVID-19 se duplicaron, tenía como punto clave que "los ciberdelincuentes aceleran el uso de malware para Linux: con un aumento del 40 % en las familias de malware relacionadas con Linux en el último año, y un aumento del 500 % en el malware escrito en Go en los primeros seis meses de 2020, los atacantes están acelerando una migración al malware para Linux, que puede ejecutarse más fácilmente en varias plataformas, incluidos los entornos en la nube". Que estos ciberdelincuentes están utilizando cada vez más Linux y Unix para atacar hospitales e industrias afines (que dependen de estos sistemas y redes en la nube) que son cada vez más vulnerables durante la crisis de la COVID-19, como el ciberataque a la Cruz Roja . ^{[ 11 ]}

Estas aplicaciones son útiles para ordenadores (normalmente servidores) que transfieren archivos a usuarios de Microsoft Windows . No buscan amenazas específicas de Linux.

Estas aplicaciones buscan amenazas reales para los ordenadores Linux en los que se ejecutan.

• chkrootkit (software libre y de código abierto) ^{[ 21 ]}
• ClamAV (software libre y de código abierto) ^{[ 22 ]}
• Comodo (propiedad intelectual) ^{[ 23 ]}
• Crowdstrike (propiedad de Crowdstrike)
• Dr.Web (propiedad intelectual) ^{[ 15 ]}
• ESET (de propiedad exclusiva) ^{[ 24 ] [ 25 ] [ 26 ] [ 27 ]}
• Herramienta de eliminación de virus Kaspersky (KVRT) para Linux (gratuita) ^{[ 28 ]}
• Detección de malware en Linux ^{[ 29 ]}
• lynis (auditoría de código abierto) ^{[ 30 ] [ 31 ]}
• rkhunter (software libre y de código abierto) ^{[ 32 ]}
• Samhain (software libre y de código abierto) ^{[ 33 ]}
• Sophos (de propiedad exclusiva) ^{[ 34 ] [ 35 ]}

El malware de Linux también se puede detectar (y analizar) utilizando herramientas de análisis forense de memoria, como por ejemplo:

• Forcepoint (propiedad intelectual) ^{[ 36 ]}
• Volatilidad ^{[ 37 ]} (software libre y de código abierto) ^{[ 38 ]}

• Mayhem – Botnet multifuncional para Linux/FreeBSD de 32/64 bits ^{[ 39 ]}
• Linux.Remaiten : una amenaza dirigida al Internet de las cosas . ^{[ 40 ] [ 41 ] [ 42 ]}
• Mirai (malware) : una botnet DDoS se propaga a través del servicio telnet y está diseñada para infectar el Internet de las Cosas (IoT). ^{[ 43 ] [ 44 ] [ 45 ] [ 46 ]}
• GafGyt/ BASHLITE /Qbot: una botnet DDoS que se propaga a través de contraseñas débiles de los servicios SSH y Telnet, descubierta por primera vez durante la vulnerabilidad Shellshock de bash. ^{[ 47 ]}
• LuaBot – una botnet codificada con módulos componentes en el lenguaje de programación Lua, compilada cruzadamente en un envoltorio C con LibC, está dirigida al Internet de las Cosas en arquitecturas ARM, MIPS y PPC, con el fin de realizar ataques DDoS, propagar Mirai (malware) o vender acceso proxy para el cibercrimen. ^{[ 48 ] [ 49 ]}
• Hydra, ^{[ 50 ]} Aidra, ^{[ 51 ]} LightAidra ^{[ 52 ]} y NewAidra ^{[ 53 ]} – otra forma de una poderosa botnet de IRC que infecta máquinas Linux.
• EnergyMech 2.8 overkill mod (Linux/Overkill): un gusano botnet de larga duración diseñado para infectar servidores con su bot y operado a través del protocolo IRC, con el propósito de realizar ataques DDoS y propagarse. ^{[ 54 ]}

• Snakso: un rootkit de servidor web Linux de 64 bits ^{[ 59 ]}
• Cabra pigmea : se utiliza en Sophos Firewall en 2024 ^{[ 60 ]}