VoidLink: malware per cloud server Linux

Gli esperti di Check Point Research hanno individuato un malware, denominato VoidLink, progettato per operare all’interno di ambienti cloud basati su Linux. Si tratta di un framework che fornisce ai cybercriminali tutti i componenti necessari per eseguire attacchi contro le moderne infrastrutture.

VoidLink: pericolo per i server Linux

VoidLink è scritto in Zig, Go e C. Può identificare il provider cloud usato (Microsoft, Google, AWS, Alibaba e Tencent) e determinare se le applicazioni funzionano all’interno di Docker o Kubernetes, cambiando il suo comportamento in tempo reale. Il framework raccoglie diverse informazioni, tra cui versioni del kernel, processi e stato della rete. I cybercriminali possono così eseguire attacchi personalizzati, decidendo quali moduli attivare (al momento sono 37).

I cybercriminali possono gestire gli attacchi attraverso un pannello di controllo. La connessione remota avviene tramite vari protocolli (HTTP, WebSocket, DNS tunneling, ICMP). Un layer di messaggistica cifrato (VoidStream) nasconde il traffico, quindi sembrano normali richieste web o API.

I moduli (plugin) vengono caricati in memoria e sono suddivisi in sei categorie principali. Consentono di raccogliere informazioni sul sistema target, esfiltrare credenziali (SSH, Git, token, API e altri dati), effettuare movimenti laterali (shell, port forwarding e tunneling), ottenere la persistenza e cancellare le tracce dell’intrusione (log, cronologia).

Moduli specifici permettono di nascondere file, processi e socket di rete per evitare la rilevazione. VoidLink effettua inoltre la cifratura del codice a runtime e può rilevare debugger e altri tool di analisi. Se viene rilevato, il malware si auto-cancella.

Al momento non sono state individuate infezioni, ma VoidLink è attivamente in sviluppo. Ciò significa che ci saranno sicuramente attacchi nelle prossime settimane. Le aziende devono quindi potenziare il monitoraggio degli ambienti cloud basati su Linux. Check Point Research ha fornito tutti i dettagli in un post dedicato.