O malware provou ser uma ferramenta popular usada pelos hackers de Pequim na última década e tem sido usado contra vários alvos para motivações variadas, incluindo uma empresa farmacêutica alemã em abril de 2019.

Os pesquisadores identificaram um pequeno aglomerado de amostras Winnti projetados especificamente para Linux que funciona como um backdoor em hosts infectados garantindo acesso não autorizado a sistemas infectados, de acordo com um post no seu blog no dia 15 de maio.

O malware é composto de dois arquivos, um backdoor principal e uma biblioteca que é usada para ocultar a atividade do malware, e o componente principal do malware é projetado principalmente para lidar com comunicações e a implantação de módulos diretamente dos servidores de comando e controle.

Descobriu-se que a biblioteca é uma cópia do rootkit de código-fonte aberto Azazel com pequenas alterações que, quando executadas, registrarão símbolos para várias funções comumente usadas. Os criminosos fizeram mudanças mais distintas no Azazel com a adição de uma função chamada "Decrypt2", que é usada para decodificar uma configuração embutida.

"Ao contrário do Azazel padrão, que é configurado para ocultar a atividade de rede com base em intervalos de portas, a versão modificada do Winnti mantém uma lista de identificadores de processo e conexões de rede associadas à atividade do malware", disseram os pesquisadores no relatório. “Esta modificação provavelmente serve para simplificar o processo de configuração de amostra do operador por não ter que denotar portas específicas para se esconder.”

Os pesquisadores não conseguiram recuperar nenhum plug-in ativo, mas acreditam que os operadores geralmente implementam plugins para a execução de comandos remotos, extração de arquivos e proxies socks5.

Casey Ellis, CTO e fundador da Bugcrowd disse à SC Media que, embora o Linux não seja a plataforma de malware mais comumente discutida, os invasores implantam e exploram sistemas Linux há décadas e tendem a pegar o que funciona para eles e padronizá-lo.

“A novidade desta variante do Linux do Winnti não me surpreende, os criminosos usarão qualquer método de ataque que preferirem e aplicarão a todos os sistemas operacionais”, disse Ellis